KVKK ve online randevu: işletmelerin bilmesi gereken 8 konu

Online randevu alırken müşterinizin adını, telefonunu, bazen de sağlık veya evcil hayvan bilgilerini topluyorsunuz. Bunların hepsi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında kişisel veridir. Bu yazıda randevuyla çalışan bir işletmenin dikkat etmesi gereken temel konuları sade bir dille özetliyoruz.

1. Veri sorumlusu sizsiniz

Randevu alan müşterilerinizin verileri bakımından veri sorumlusu işletmenizdir. Kullandığınız randevu yazılımı genellikle "veri işleyen" konumundadır; yani verileri sizin adınıza ve sizin talimatınızla işler. Bu nedenle yazılım sağlayıcınızla aranızdaki sözleşmede veri güvenliğine ilişkin hükümler bulunmalıdır.

2. Aydınlatma metni şart

Müşteriye, verisini hangi amaçla işlediğinizi, kimlere aktarabileceğinizi, ne kadar saklayacağınızı ve haklarını anlatan bir aydınlatma metni sunmanız gerekir. Online randevu formunda bu metne bir bağlantı ve "okudum" onay kutusu bulunması, müşterinin bilgilendirildiğini göstermenin pratik yoludur. Onayın ne zaman ve hangi metin sürümüyle verildiğinin kaydedilmesi, ileride ispat açısından önemlidir.

3. Randevu için açık rıza gerekmez, kampanya için gerekir

Randevuyu oluşturmak ve hatırlatmak için müşterinin ad ve telefonunu işlemek, sözleşmenin kurulması ve ifası kapsamındadır; ayrıca açık rıza gerektirmez. Ancak kampanya, indirim ve "sizi özledik" mesajları ticari elektronik ileti sayılır ve alıcının önceden onayını gerektirir. Bu onayı:

• Randevu formunda ayrı ve önceden işaretlenmemiş bir kutuyla alın.
• Onay tarihini kaydedin.
• Her ticari mesajda ret imkânı sunun (örneğin "Mesaj almak istemiyorsanız RET yazın").

Ticari elektronik ileti onaylarının İleti Yönetim Sistemi (İYS) ile ilişkisi konusunda da hizmet sağlayıcınıza ve danışmanınıza danışın.

4. Sağlık ve hassas veriler için ekstra dikkat

Diş kliniği, fizik tedavi veya psikolog gibi işletmelerde müşteri notları sağlık verisi içerebilir. Sağlık verisi özel nitelikli kişisel veridir ve daha sıkı kurallara tabidir. Pratik öneriler:

• Yalnızca hizmet için gerçekten gerekli olan bilgiyi yazın.
• Bu notları yalnızca ilgili personelin görebildiği bir sistem kullanın.
• SMS'lerde hizmetin içeriğini yazmayın; tarih ve saat yeterlidir.

5. Personel yalnızca gerekeni görmeli

Her çalışanın tüm müşteri listesine ve telefon numaralarına erişmesi gerekmez. Personele rol bazlı yetki verin: kendi takvimini ve kendi müşterilerini görsün, telefon numaralarını görüp görmeyeceğine siz karar verin.

6. Saklama süresi belirleyin

Veriyi "her ihtimale karşı" sonsuza kadar saklamak KVKK'nın ölçülülük ilkesine aykırıdır. Aktif müşteri kayıtları, fatura gibi yasal saklama yükümlülüğü olan belgeler ve güvenlik kayıtları için ayrı süreler belirleyin; süre dolanları silin veya anonimleştirin.

7. Müşteri talepleri: 30 gün kuralı

Müşteriniz verisinin kendisine verilmesini, düzeltilmesini veya silinmesini isteyebilir. Başvurular en geç 30 gün içinde yanıtlanmalıdır. Müşterinin kendi verisini indirip silebildiği bir müşteri hesabı, bu talepleri dakikalar içinde karşılamanızı sağlar.

8. Yurt dışına aktarım ve hizmet sağlayıcılar

SMS, e-posta, barındırma ve yapay zekâ hizmetleri çoğu zaman üçüncü taraf sağlayıcılar aracılığıyla çalışır ve bunların bir kısmının sunucuları yurt dışında olabilir. Aydınlatma metninizde bu aktarımları belirtin ve yurt dışına aktarımın güncel mevzuata uygun yapıldığından emin olun.

Kontrol listesi

• Randevu formunda aydınlatma metni bağlantısı ve onay kaydı var mı?
• Kampanya izni ayrı, önceden işaretsiz bir kutuyla mı alınıyor?
• Ticari mesajlarda ret yolu var mı?
• Personel yetkileri ayrıştırılmış mı?
• Müşteri kendi verisini indirip silebiliyor mu?
• Saklama süreleri belirlenmiş mi?

KVKK'ya uyum bir kerelik iş değil, alışkanlıktır. Doğru kurgulanmış bir randevu sistemi bu alışkanlıkların çoğunu sizin yerinize otomatik uygular.