Restoran KVKK Uyum Paketi (Kamera, Sadakat, Wi-Fi Verisi)

Bu paket, kişisel veri işleyen her ölçekteki yeme-içme işletmesi için tasarlanmıştır. Çoğu restoran farkında olmadan üç ayrı kanaldan kişisel veri toplar: girişteki güvenlik kamerası, kasadaki sadakat programı ve Wi-Fi şifresi vermek için istenen telefon numarası. Bu üç kanal, KVKK kapsamında birbirinden bağımsız işleme faaliyetleri sayılır ve her biri ayrı yükümlülük doğurur.

• Sadakat programı veya puan kartı kullanan restoranlar: Ad, telefon, doğum tarihi ve satın alma geçmişi toplayan her işletme KVKK kapsamındaki veri sorumlusu sıfatı taşır. Üyelik formlarının aydınlatma metni ve açık rıza onayı içermesi yasal zorunluluktur. Kasiyer hızla geçirdiği «okudum onaylıyorum» onay kutusunun ispat değeri taşımadığı, ancak doğru yapılandırılmış ayrı aydınlatma metninin geçerli sayıldığı unutulmamalıdır.
• Misafir Wi-Fi sunan kafeler ve restoranlar: Captive portal üzerinden toplanan MAC adresi, e-posta veya telefon numarası KVKK'ya göre kişisel veri sayılır. Bu verileri sonraki kampanyalarda kullanmak için İYS'ye kayıt ve açık rıza şarttır. Telefon numarasını alıp ilerleyen haftalarda WhatsApp kampanyası göndermek, yasal dayanağı olmadığında hem KVKK hem de İYS ihlali oluşturur.
• Güvenlik kamerası bulunan işletmeler: İçeride veya girişte kamera kaydı tutan her işletme, KVKK'nın aydınlatma yükümlülüğü kapsamındadır. Kamera uyarı tabelası tek başına yeterli değildir; kapsamlı aydınlatma metni, saklama süresi politikası ve kayıtlara erişim prosedürü zorunludur.
• Otel yeme-içme birimleri: Oda kartı, rezervasyon sistemi ve restoran üyeliğini birleştiren oteller, birden fazla işleme faaliyetini tek bir uyum çatısı altında yönetmek durumundadır. Otel yeme-içme birimi çoğunlukla otelden bağımsız bir KVKK envanteri gerektirmez; ancak restorana özgü veri akışlarının ana otel politikasına dahil edilmesi şarttır.
• Zincir ve franchise restoranlar: Birden fazla şubede kişisel veri işleyen işletmeler, merkezi veri envanteri ve şube bazlı aydınlatma mekanizmaları kurmazsa denetim riskini yönetemez. VERBİS kaydında tüm şube işleme faaliyetlerinin doğru beyan edilmesi gerekir.

Kişisel Verileri Koruma Kurulu'nun yeme-içme sektörüne yönelik denetimlerini artırdığı bilinmektedir. Sadakat programı ihlalleri gerekçesiyle birden fazla restoran zincirine idari yaptırım uygulandığına dair emsal kararlar mevcuttur. Bu paketi doğru zamanda uygulamak, ceza sonrası acil uyum çalışmasından çok daha düşük maliyetli bir yatırımdır.

Restoranlar üç ayrı kanaldan kişisel veri toplar; ancak çoğu işletme bu kanalların her birinin bağımsız KVKK yükümlülüğü doğurduğunun farkında değildir. Dahası, bu üç kanalın ayrı ayrı ele alınmaması halinde işletme her biri için bağımsız idari yaptırım riskiyle karşı karşıya kalır.

1. Kamera kayıtları

Güvenlik amaçlı kameralar müşteri ve personelin görüntülerini kaydeder. Bu görüntüler KVKK kapsamında kişisel veridir ve işleme için aydınlatma yükümlülüğü getirir. Kapıya yapıştırılan küçük bir «kamera kayıt altındadır» stikeri yasal standartları karşılamaz; aydınlatma metninin hangi verinin, ne amaçla, ne kadar süre saklandığını ve kime açık olduğunu açıkça belirtmesi gerekir. Üstelik kayıt saklama süresinin politikada tanımlanması ve bu süre dolunca kayıtların silinmesi teknik bir zorunluluktur.

2. Sadakat programı üyelikleri

Ad, telefon, doğum tarihi ve satın alma geçmişini barındıran sadakat veritabanları, KVKK'nın en sıkı denetlediği kategorilerden biridir. Üyelik esnasında alınan «okudum, onaylıyorum» tik kutusunun tek başına geçerliliği yoktur; aydınlatma metninin ayrı, anlaşılır ve güncel olması gerekir. Aynı verinin pazarlama amacıyla kullanılması için İYS'ye kayıt ve İYS üzerinden izin yönetimi zorunludur; İYS dışında alınan rıza ticari ileti göndermek için yeterli sayılmaz.

3. Misafir Wi-Fi logları

Captive portal üzerinden toplanan e-posta veya telefon numaraları, kampanyalarda kullanılmak üzere saklandığında hem KVKK hem de İYS kapsamına girer. Bir restoran müşteriye Wi-Fi şifresi vermek için telefon numarasını alıyor ve iki hafta sonra aynı numaraya SMS kampanyası gönderiyorsa, bu akış hukuki dayanaktan yoksundur. Doğru yapı; açık rıza ekranını captive portalda göstermek, veriyi yalnızca onaylı amaçlarla kullanmak ve İYS üzerinden izni doğrulamaktır.

Bu paketin değeri tek bir yükümlülüğü düzeltmekten değil, üç kanalı bütünleşik ve belgelenmiş biçimde ele almaktan gelir. Teknik altyapı ve hukuki dokümantasyon aynı proje çatısı altında teslim edilir. Bir kanalın eksik bırakılması, işletmenin tüm kanallar için ayrı ayrı yaptırım riskiyle karşılaşmasını önlemez; bu nedenle bütüncül yaklaşım hem maliyet hem de hukuki güvence açısından daha avantajlıdır.

1. Veri envanteri ve etki analizi (1. hafta): Mevcut kamera sistemi, sadakat yazılımı ve Wi-Fi altyapısı yerinde veya uzaktan incelenir. Hangi verilerin toplandığı, nerede depolandığı, ne kadar süre saklandığı ve kiminle paylaşıldığı haritalanır. İşleme faaliyetleri kaydı (VERBİS girişine veya iç kayıt belgesine temel oluşturacak) taslağı hazırlanır. Bu aşama uyum boşluklarını ve öncelikleri netleştirir. Her kanal için risk seviyesi belirlenir; en yüksek riskli kanala öncelik verilir.
2. Hukuki doküman hazırlığı (1–2. hafta): Her kanalın gerektirdiği aydınlatma metinleri ayrı ayrı kaleme alınır: kamera aydınlatma metni (fiziksel tabela ve web sürümü dahil), sadakat programı üyelik aydınlatması, Wi-Fi oturumu aydınlatması. İYS uyumlu ticari elektronik ileti onay metinleri hazırlanır. KVKK'nın 11. maddesi kapsamındaki veri sahibi başvurularını yönetmek için iç prosedür ve e-posta şablonları oluşturulur. Tüm metinler sade ve müşterinin anlayabileceği dilde yazılır; yasal jargonun arkasına saklanmaz.
3. Teknik altyapı kurulumu (2–4. hafta): Sadakat modülüne açık rıza kayıt akışı eklenir; onaylar zaman damgalı olarak loglanır. Wi-Fi captive portalına KVKK uyumlu onay ekranı entegre edilir. Kamera kayıt saklama süreleri politikaya uygun şekilde yapılandırılır; otomatik silme veya üzerine yazma mekanizması devreye alınır. İYS entegrasyonu tamamlanır; mevcut üye listesi izin statüsüne göre segmentlenir ve izin alınmamış kişilere ticari ileti gönderimi durdurulur. Bu adım mevcut veritabanındaki uyumsuz kişilerin temizlenmesi açısından kritiktir.
4. Personel eğitimi ve test (4–5. hafta): Kasa ve karşılama personeline KVKK taleplerine — silme, düzeltme, itiraz, veri aktarımı — nasıl yanıt verileceği öğretilir. Veri sahibi başvurularında hangi adımların izleneceği, kimin yetkili olduğu ve yanıt süresinin neden önemli olduğu pratik örneklerle aktarılır. Tüm onay akışları uçtan uca test edilir.
5. Teslim ve belgeleme (5–6. hafta): Tüm teknik ve hukuki dokümanlar işletmeye teslim edilir. VERBİS kaydı veya iç kayıt güncellenir. 30 günlük destek penceresi başlar; bu süre içinde mevzuat soruları ve küçük teknik ayarlamalar kapsama dahildir. Yeni bir veri işleme kanalı eklenirse uyum gereklilikleri yeniden değerlendirilir ve güncelleme planı sunulur. Her aşama işletmenin uyum belge dosyasına dahil edilir; denetim anında bu dosya güncel ve eksiksiz olur.

Bu paketin çıktılarının tamamı doğrudan KVKK uyumunu hedefler. Tüm aydınlatma metinleri ve rıza akışları, Kişisel Verileri Koruma Kurulu'nun yayımladığı rehber ilkeler ve emsal kararlar doğrultusunda hazırlanır. Teknik çözümler uyumu belgeleyen denetim izleri üretecek şekilde tasarlanır. Yaptırım durumunda işletmenin elinde somut ispat belgeleri bulunur.

Teknik önlemler kapsamında:

• Kamera kayıtları şifreli depolama ile saklanır; yalnızca tanımlı yetkili personel erişimine açıktır ve erişim loglanır.
• Sadakat veritabanı erişim logları tutulur; yetkisiz erişim girişiminde yöneticiye otomatik uyarı gönderilir.
• Wi-Fi captive portalı, toplanan verileri işletmenin diğer sistemlerinden izole edilmiş bir ortamda depolar; pazarlama veritabanına yalnızca rıza alınan kayıtlar aktarılır.
• Tüm rıza kayıtları zaman damgalı şekilde loglanır; olası bir KVKK başvurusunda ispat belgesi olarak sunulabilir. Bu log KVKK Kurulu'nun ispat yükümlülüğü gerekliliğini karşılar.
• Saklama süresi dolduğunda verilerin otomatik anonimleştirilmesi veya silinmesi için teknik mekanizma kurulur.

Yazılım.pro, proje kapsamında eriştiği kişisel verileri yalnızca sistemi kurmak amacıyla işler ve projenin tamamlanmasının ardından işletmeye ait kişisel verileri güvenli şekilde siler veya iade eder. Bu taahhüt proje sözleşmesine yazılı olarak dahil edilir. Veri imha tutanağı işletmeye teslim edilir ve bu belge olası bir KVKK denetiminde veri işleyici yükümlülüğünün karşılandığını ispat eder. Güvenlik ölçütleri; gizlilik, bütünlük ve erişilebilirlik boyutlarıyla değerlendirilir. Teknik ve idari tedbirler birlikte ele alınarak yalnızca kağıt üzerinde değil, uygulamada da uyumun sağlanması hedeflenir. Sonuç olarak işletme denetim anında hazır olan; aydınlatma metinleri, rıza kayıtları ve veri envanteri eksiksiz bir uyum dosyasına sahip olur. Bu dosya hem Kişisel Verileri Koruma Kurulu'na hem de müşterilere karşı güven belgesi işlevi görür.