Kuaför Adisyon Programı Seçerken KVKK ve Veri Güvenliğinde Nelere Dikkat Edilmeli?

Salon yazılımı seçerken KVKK genelde "tedarikçi güvenli mi" sorusuna indirgenir — sunucu nerede, şifreleme var mı gibi. Bu doğru bir soru ama eksik: KVKK kapsamında salon sahibinin kendisine düşen, yazılımdan bağımsız görevler de var. Aydınlatma metnini göstermek, doğru anda doğru rızayı almak, veriyi ne kadar süre tutacağınıza karar vermek — bunlar yazılımın değil, sizin sorumluluğunuz.

Tedarikçi tarafını (veri konumu, kiracı izolasyonu, dışa aktarım) daha önce salon yazılımı KVKK uyumu nasıl doğrulanır yazısında işledik. Bu yazı onun tamamlayıcısı: sizin, salon sahibi olarak, kendi başınıza yapmanız gereken kısım.

Salonunuzun Elinde Aslında Ne Var?

Çoğu salon sahibi elindeki verinin boyutunu hafife alır. Bir müşteri kartında tipik olarak şunlar birikir:

• Ad-soyad ve telefon numarası — randevu ve WhatsApp bildirimi için temel veri.
• İşlem/adisyon geçmişi — hangi hizmeti ne sıklıkta aldığı, ne kadar harcadığı.
• Tercih notları — saç rengi kodu, alerji uyarısı, "bu ürünü kullanmasın" gibi hassas sayılabilecek notlar.
• Fotoğraf — öncesi/sonrası çekimi yapılıyorsa, yüzü içerebilen görsel veri.
• Kısmi ödeme bilgisi — kart mı nakit mi ödediği, borç/alacak durumu.

Bunların hepsi kişisel veridir ve bir kısmı (alerji, sağlıkla ilgili not) özel nitelikli sayılabilir. "Sadece telefon numarası tutuyorum, önemli değil" düşüncesi burada yanıltıcıdır — bir araya geldiğinde bu veri seti oldukça detaylı bir müşteri profili oluşturur.

Randevu Bilgilendirmesi mi, Kampanya Mesajı mı? Kritik Ayrım

Salon sahiplerinin en sık karıştırdığı nokta budur ve yanlış anlaşılması hem gereksiz izin isteyip müşteriyi ürkütmeye hem de izinsiz mesaj gönderip şikayete yol açabilir:

Pratik kural: mesaj müşterinin zaten aldığı bir hizmetle ilgiliyse rızaya gerek yok; mesaj yeni bir satış/tanıtım içeriyorsa açık rıza şart. İkisini aynı WhatsApp hattından, aynı izinle göndermek yaygın bir hatadır.

Aydınlatma Metni Ne İçermeli, Nerede Gösterilmeli?

Aydınlatma metni uzun bir hukuk metni olmak zorunda değil — müşterinin anlayabileceği kısa bir açıklama olmalı ve şunları içermeli: hangi veriyi topladığınız, ne amaçla kullandığınız (randevu, hatırlatma, işlem geçmişi), ne kadar süre sakladığınız ve haklarını nereden kullanabileceği (silme/düzeltme talebi için iletişim). Bunu ilk kayıt anında — online randevu formunda veya salonda ilk ziyarette — göstermeniz beklenir, üç ay sonra fark edip eklemeniz değil.

Veri Saklama Süresi ve Personel Erişim Yetkisi

İki soru burada birbirine karışır ama ayrı yönetilmeli:

• Saklama süresi: veriyi "amaç ortadan kalkana kadar" tutabilirsiniz — bir müşterinin yıllar sonra geri gelme ihtimali makul bir gerekçedir. Ama salonu kapatırsanız ya da bir müşteri kalıcı silme talep ederse, o veriyi süresiz saklamanın gerekçesi kalmaz.
• Personel erişim yetkisi: resepsiyon personelinin randevu görmesi ile salon sahibinin ciro/prim raporunu görmesi aynı yetki seviyesinde olmamalı. Kademeli yetki (kim neyi görür) hem güven hem KVKK'nın "gereklilik ilkesi"nin gereğidir.
• İşten ayrılan personelin erişimi: aynı gün kapatılmalı. Aylarca aktif kalan eski personel şifresi, veri ihlali denetimlerinde en sık rastlanan zafiyetlerden biridir.

Veri İhlali Olursa: Adım Adım Ne Yapılır?

Yazılım Seçerken Sorulacak 7 Soru

• Randevu hatırlatma izniyle kampanya mesajı izni sistemde ayrı mı toplanıyor, yoksa tek bir "onay" mı var?
• Aydınlatma metni müşteri kayıt/randevu formunda otomatik gösteriliyor mu, yoksa bunu siz mi eklemelisiniz?
• Personel yetkisi kademeli mi — resepsiyon sadece randevu görürken, ciro/prim raporunu yalnızca sahip mi görüyor?
• İşten ayrılan personelin erişimi tek tıkla, gecikmeden kapatılabiliyor mu?
• Bir müşteri "verimi silin" derse bu talep ne kadar sürede ve ne kadar eksiksiz karşılanıyor?
• Öncesi/sonrası fotoğraf yükleniyorsa bunun için ayrı bir rıza akışı var mı?
• Bir veri ihlali durumunda tedarikçi sizi ne kadar sürede, hangi kanaldan bilgilendiriyor?

Genel salon KVKK yükümlülüklerinin tamamını daha geniş kapsamda salon müşteri verisi ve KVKK rehberi yazımızda topladık.

Sık Yapılan Hatalar

• Randevu hatırlatma iznini kampanya mesajı göndermek için de kullanmak — ikisi ayrı izin gerektirir.
• Aydınlatma metnini hiç göstermemek ya da sadece salon duvarına asıp dijital kayıtta hiç göstermemek.
• Tüm personele aynı yetkiyi vermek — resepsiyon personelinin ciro raporunu görmesine gerek yok.
• İşten ayrılan personelin şifresini/erişimini aylarca aktif bırakmak.
• Öncesi/sonrası fotoğrafı sosyal medyada paylaşırken salon içi kullanım için alınan genel onayı yeterli saymak.

Sık Sorulan Sorular