Salon Yazılımı KVKK Uyumu Nasıl Doğrulanır?

İki farklı soru var: "İşletmem KVKK'ya uygun mu çalışıyor?" ve "Kullandığım yazılım verimi güvenli tutuyor mu?" Birinci soruya salon müşteri verisi KVKK rehberi yazımızda cevap verdik. Bu yazıda ikinci soruya odaklanıyoruz — bir yazılım tedarikçisini seçerken veya değerlendirirken sormanız gereken somut sorular.

Veriniz nerede tutuluyor?

Bir yazılım tedarikçisine "müşteri verim hangi altyapıda, hangi bölgede saklanıyor" diye sormak makul bir sorudur. Bulut tabanlı sistemlerin çoğu tanınmış altyapı sağlayıcılarını kullanır; önemli olan tedarikçinin bu soruya net cevap verebilmesidir. Belirsiz veya kaçamak bir cevap, veri yönetiminin ciddiye alınmadığının işareti olabilir.

Kiracı veri izolasyonu: aynı sistemde başka salonun verisi görünür mü?

Kim hangi veriyi görüyor: rol bazlı yetki kontrolü

Salon içinde de herkesin her veriyi görmesi doğru değildir. Bir kasiyer personelin maaş bilgisine, bir personelin ise net kâr raporuna erişmesi gerekmez. Değerlendirdiğiniz yazılımda rol bazlı yetki (yönetici, kasa, personel, muhasebe gibi) olup olmadığını kontrol edin — bu hem veri güvenliği hem de iç kontrol açısından önemlidir.

• Personel rolündeki biri müşterinin geçmiş harcamasını görebiliyor mu, görmeli mi?
• Kasa rolündeki biri personel prim raporuna erişebiliyor mu?
• Yönetici dışındaki roller net kâr raporunu görebiliyor mu?

Verinizi dışa aktarabiliyor musunuz?

Silme talebi nasıl işliyor?

KVKK kapsamında bir müşteri kendi verisinin silinmesini talep edebilir; işletme sahibi olarak bu talebi karşılamanız gerekir. Kullandığınız yazılımda tek bir müşteri kaydını silmek mümkün mü, yoksa bu işlem için tedarikçiye başvurmanız mı gerekiyor? Hesabınızı tamamen kapatırsanız verinizin ne kadar sürede silindiği de sözleşme öncesi sormanız gereken bir sorudur.

Sınır durum: personel işten ayrılırsa erişimi nasıl kapatılır

Bir personel işten ayrıldığında, o kişinin sisteme erişiminin hızlıca kapatılabilmesi gerekir — aksi hâlde eski çalışan, salon verisine (müşteri telefon numaraları dahil) erişmeye devam edebilir. Değerlendirdiğiniz yazılımda bir kullanıcı hesabını devre dışı bırakmanın kaç adım sürdüğünü ve bunun anında etkili olup olmadığını kontrol edin.

Rol bazlı yetki burada da işe yarar: erişimi kapatmak tek bir hesabı devre dışı bırakmaktan ibarettir, sistemin geri kalanını etkilemez.

Denetim senaryosu: bir müşteri şikayeti gelirse

Bir müşteri "verilerimin nasıl kullanıldığını öğrenmek istiyorum" diye başvurduğunda, işletme sahibi olarak bu talebe makul bir sürede cevap vermeniz gerekir. Bunu yapabilmeniz için kullandığınız sistemde o müşteriye ait hangi verilerin (randevu geçmişi, notlar, iletişim tercihi) tutulduğunu görebilmeniz ve gerekirse bir özet çıkarabilmeniz gerekir.

Bir yazılımı değerlendirirken bu senaryoyu deneme sürümünde bizzat test edin: "Tek bir müşterinin kayıtlı tüm bilgilerini nasıl görürüm?" sorusuna birkaç tıkla cevap bulabiliyor musunuz?

10 dakikalık kendi kontrolünüzü yapın

Ücretsiz deneme süresi içinde şu kontrolleri bizzat yapmanız, tedarikçinin sözlerine güvenmekten daha güvenilirdir:

• Bir test müşterisi ekleyip bilgilerini görüntüleyin, sonra silin — silme işleminin gerçekten çalıştığını doğrulayın.
• Farklı rollerle (varsa) giriş yapıp hangi ekranların kimden gizlendiğini kontrol edin.
• Bir raporu CSV olarak dışa aktarıp dosyanın gerçekten açılabildiğini ve doğru veriyi içerdiğini kontrol edin.
• Destek ekibine veri saklama konumuyla ilgili bir soru sorup ne kadar net ve hızlı cevap aldığınızı gözlemleyin.

Tedarikçiye sorulacak 6 soru

1. Verim hangi altyapıda ve hangi bölgede tutuluyor?
2. Başka bir salonun hesabı, teknik olarak benim verime erişebilir mi?
3. Salonum içinde rol bazlı yetki kurabiliyor muyum?
4. Rapor ve müşteri verimi dışa aktarabiliyor muyum?
5. Bir müşterinin silme talebini nasıl karşılarım?
6. Hesabımı kapatırsam verim ne kadar sürede siliniyor?

Küçük bir salon da kapsam dışı değil

Tek koltuklu bir berber veya iki kişilik bir kuaför salonu, "biz küçüğüz, bize dokunmaz" diye düşünebilir. Oysa KVKK kapsamı işletmenin büyüklüğüne göre değişmez — müşteri telefon numarası ve tercihleri kaydeden her işletme, bunu topladığı andan itibaren belirli yükümlülükler altına girer. Küçük ölçek, dikkatsizliğin bedelini azaltmaz; sadece o dikkatsizliğin fark edilme ihtimalini geciktirebilir.

Bu yüzden yazılım seçimi küçük işletmeler için de önemlidir — hatta bazen daha önemlidir, çünkü küçük bir salonun kendi başına bir KVKK/BT uzmanı istihdam etme olasılığı düşüktür ve bu sorumluluğun bir kısmını, doğru kurulmuş bir yazılım altyapısı üstlenir.

Sözleşmede/kullanım koşullarında aranacak maddeler

Bir yazılımın kullanım koşullarını (genelde kimsenin okumadığı ama okunması gereken metin) incelerken şu maddelerin varlığını arayın: verinin hangi amaçla işlendiği, üçüncü taraflarla paylaşılıp paylaşılmadığı, veri ihlali durumunda size nasıl bilgi verileceği ve hesabınızı kapattığınızda verinin ne kadar süre saklanacağı.

Bu maddelerden biri veya birkaçı belirsiz veya hiç yoksa, bu durumu tedarikçiye doğrudan sorun. Net bir cevap alamıyorsanız, bu tek başına karar değiştirici bir sinyal olabilir.

Bulut mu yerel sunucu mu — hangisi daha güvenli?

Bazı salon sahipleri "verim kendi bilgisayarımda dursun, buluta güvenmem" diye düşünür. Sezgisel olarak mantıklı görünse de, gerçekte kendi bilgisayarınızda tutulan bir veri, profesyonel bir bulut altyapısına göre genelde daha risklidir — o bilgisayar çalınabilir, bozulabilir, yedeklenmemiş olabilir. Profesyonel bulut sağlayıcıları düzenli yedekleme, şifreleme ve erişim kontrolü konusunda tek bir salonun kendi başına sağlayabileceğinden daha ciddi bir altyapı sunar.

Asıl önemli olan "bulut mu yerel mi" tercihi değil, hangi seçeneği kullanırsanız kullanın, o altyapının izolasyon, yedekleme ve erişim kontrolü konusunda net cevaplar verebilmesidir.

KVKK sorusu satın alma kararınızı geciktirmesin

Bu yazıda anlattığımız sorular çok sayıda ve teknik görünebilir ama pratikte hepsini tek bir e-posta veya destek görüşmesinde sorabilirsiniz. Amaç sizi caydırmak değil, karar vermeden önce net cevaplar almanızı sağlamaktır. Net ve hızlı cevap veren bir tedarikçi, zaten bu konuları ciddiye aldığının bir göstergesidir.

Cevap alamadığınız veya belirsiz kalan bir soru varsa, bunu ücretsiz deneme sürecinde tekrar sorun — bir tedarikçinin bu tür sorulara ne kadar sabırla ve açıklıkla yanıt verdiği, uzun vadeli ilişkinizin nasıl olacağına dair de bir ipucudur.

Pazarlama sözü ile kanıtlanabilir uygulama farkı

"KVKK uyumluyuz" cümlesi web sitesinde yazması kolay, doğrulanması zor bir iddiadır. Bu yazının amacı, bu iddiayı sözle değil, somut sorularla ve deneme sürecinde bizzat test ederek doğrulamanızı sağlamaktı. Bir tedarikçi bu sorulara net cevap verebiliyor ve deneme sürümünde bu davranışları gösterebiliyorsa, iddiası kanıtlanabilir demektir.

Bu standardı kendimize de uyguluyoruz: kiracı bazlı veri izolasyonu, rol bazlı yetki ve CSV dışa aktarım iddialarımızı soyut bir vaat olarak değil, deneme sürümünde sizin test edebileceğiniz gerçek davranışlar olarak sunuyoruz.

Özetle: KVKK uyumu tek bir belgeye değil, günlük kullanılan altyapının tasarımına bağlıdır. Bu yazıdaki soruları sorup deneme sürümünde bizzat test ettiğinizde, hangi tedarikçinin bu konuyu gerçekten ciddiye aldığını, hangisinin yalnızca bir cümleyle geçiştirdiğini ayırt edebilirsiniz.

Bu soruları sormaktan çekinmeyin — ciddi bir tedarikçi bunları yadırgamaz, tam tersine size güven verecek şekilde cevaplar.

Bu denetimi bir kere yapmak, işletmenizin ve müşterilerinizin verisini uzun yıllar güvende tutacak bir yatırımdır — kayıt olduktan sonra değil, kayıt olmadan önce yapılmalıdır.

Sık Sorulan Sorular