Rehber · KVKKGüzellik salonlarında KVKK: müşteri kartı ve fotoğraf

Salon, müşterisinin adını, telefonunu, randevu geçmişini ve çoğu zaman fotoğrafını tutar. Bunların hepsi kişisel veridir: KVKK kişisel veriyi “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlar (m.3). Bu yazı salonların en sık karşılaştığı dört konuyu özetler.

Bu yazı genel bilgilendirmedir, hukuki danışmanlık değildir. Kendi metinleriniz için bir hukukçuya danışın; güncel kanun metinleri yazının sonundaki kaynaklardadır.

Salon veri sorumlusudur

KVKK’ya göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişidir; veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişidir (m.3). Müşteri kartında neyi, ne amaçla tutacağınıza siz karar verdiğiniz için salonunuz veri sorumlusudur. Kanun, veriler kâğıtta tutulsa bile bir veri kayıt sisteminin parçasıysa uygulanır (m.2); müşteri defteri ve seans formları da kapsamdadır.

1. Aydınlatma: müşteriye ne söylemelisiniz?

Veri toplanırken müşteriye şunları bildirmeniz gerekir (m.10):

• veri sorumlusunun (salonunuzun) kimliği,
• verilerin hangi amaçla işleneceği,
• kimlere ve hangi amaçla aktarılabileceği,
• veri toplamanın yöntemi ve hukuki sebebi,
• m.11’deki hakları (bilgi isteme, düzeltme, silme vb.).

Aydınlatma bir bilgilendirmedir; açık rızadan farklıdır. Açık rıza ise “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan” rızadır (m.3). Hangi işlem için açık rıza gerektiğini metinlerinizi hazırlarken netleştirin; her şeyi tek onay kutusuna toplamayın.

2. Ticari ileti: ayrı onay, kolay ret

Kampanya ve indirim mesajları gibi ticari elektronik iletiler alıcıya ancak önceden onayı alınarak gönderilebilir (6563 sayılı Kanun m.6). Alıcı dilediği zaman gerekçe göstermeden reddedebilir; ret bildirimi ulaştıktan sonra gönderim üç iş günü içinde durdurulur (m.8). Onay ve ret kayıtları için İleti Yönetim Sistemi (İYS) kullanılır. Randevu onayı ya da hatırlatma gibi bilgilendirme mesajlarını kampanya mesajlarından ayrı tutun.

3. Fotoğraf: çekim ve reklam ayrı konulardır

Öncesi / sonrası fotoğrafları müşteriyi tanınabilir kılar. Fotoğrafı yalnız müşterinin dosyasında saklamak ile Instagram’da ya da vitrinde kullanmak farklı amaçlardır; ikisi için ayrı ayrı bilgilendirme yapıp ayrı izin almak en açık yoldur.

• Fotoğrafı herkese açık bir klasörde ya da personelin kişisel telefonunda tutmayın.
• Paylaşmadan önce konum ve cihaz bilgilerini (EXIF) temizleyin.
• 18 yaşından küçükler için velinin onayını alın; pazarlamada kullanmayın.

4. Sağlık verisi: tutmayın

Sağlık verisi özel nitelikli kişisel veridir (m.6/1). Özel nitelikli verilerin işlenmesi kural olarak yasaktır; yalnız kanunda sayılan sınırlı hâllerde ve Kurul’un belirlediği yeterli önlemler alınarak işlenebilir (m.6/3–4). Güzellik hizmeti için hastalık, ilaç, alerji ya da gebelik bilgisini müşteri kartına, seans notuna ya da forma yazmamak en güvenli yoldur.

5. Başvurulara 30 gün içinde yanıt

Müşteri verileri hakkında başvurursa talebini en kısa sürede ve en geç otuz gün içinde, kural olarak ücretsiz sonuçlandırmanız gerekir (m.13). Başvurunun geldiği tarihi kaydedin; reddederseniz gerekçesini yazın.

Kısa kontrol listesi

1. Aydınlatma metninizi salonunuz adına hazırlayın; müşteri ilk geldiğinde gösterin.
2. Ticari ileti iznini ayrı alın, ret talebini hemen işleyin.
3. Fotoğraf çekimi ve reklamda kullanım için ayrı izin alın.
4. Not alanlarına sağlık bilgisi yazmayın; personelinize de söyleyin.
5. Kâğıt formları kilitli yerde saklayın; personelin müşteri telefonlarını gereğinden fazla görmesini engelleyin.
6. Başvuruları tarihiyle kaydedip 30 gün içinde yanıtlayın.

Check Salon bu konularda ne yapar?

Aydınlatma, ticari ileti, fotoğraf çekimi ve fotoğrafın reklamda kullanımı için rızalar ayrı ayrı ve gösterilen metnin sürümüyle kaydedilir. Fotoğraf rızası yoksa fotoğraf yüklenmez; yüklenen fotoğraftan konum ve cihaz bilgileri silinir, fotoğraflar gizli depoda tutulur. Müşteri telefonu yetkisiz personele maskeli görünür, KVKK başvuruları 30 günlük süreyle izlenir. Check Salon sağlık verisi tutmak için tasarlanmadı: not alanlarında “sağlık bilgisi yazmayın” uyarısı gösterilir. Salonla ilişkimiz ve veri işleme ayrıntıları Gizlilik Politikası’ndadır.