Sadakat programı veri toplar. Hangi veriyi neden topladığınızı bilmek, az veri toplamak ve izinleri kayıt altına almak üzerine genel bir bakış.
Başlarken: bu yazı hukuki tavsiye değildir
Aşağıdakiler, sadakat programı kuran bir işletmecinin konuyu genel hatlarıyla anlaması için yazıldı. Hukuki tavsiye değildir ve öyle kullanılmamalıdır.
Kişisel verilerin korunması mevzuatı, işletmenizin büyüklüğüne, topladığınız veriye ve yaptığınız işleme göre farklı yükümlülükler doğurabilir. Programı kurmadan önce metinlerinizi ve süreçlerinizi bir hukukçuya okutun; bu, sonradan düzeltmekten hem daha ucuz hem daha rahattır.
Aslında hangi veriyi topluyorsunuz?
İlk adım, elinizde ne olduğunu bilmek. Çoğu işletmeci sadakat programını kurduktan sonra bu soruya net cevap veremez. Tipik bir programda biriken veri şudur:
- Kimlik bilgisi: ad, soyad ve iletişim için e-posta ya da telefon numarası.
- İşlem geçmişi: ne zaman, hangi şubede, ne kadar harcandı; hangi ödül kullanıldı.
- Program durumu: puan bakiyesi, damga sayısı, kademe.
- İsteğe bağlı bilgiler: doğum günü gibi, yalnızca ilgili özelliği kullanacaksanız anlamlı olan alanlar.
En güvenli veri, toplamadığınız veridir
Veri toplarken doğal eğilim her ihtimale karşı toplamaktır. Bu, hem gereksiz bir sorumluluk yükü hem de kayıt formunu uzatıp kayıt oranını düşüren bir hatadır.
Her alan için tek bir soruyu cevaplayın: bu bilgiyi hangi somut iş için kullanacağım? Doğum günü otomasyonu kuracaksanız doğum tarihi anlamlıdır. Kuracak bir planınız yoksa o alanı formdan çıkarın.
Aynı mantık saklama süresi için de geçerli. Yıllarca gelmemiş bir misafirin işlem geçmişini süresiz tutmanın işletmeye bir faydası yoktur. Ne kadar süre saklayacağınıza baştan karar verin ve bunu yazılı hale getirin.
Aydınlatma ve rıza: iki ayrı şey
Uygulamada en sık karıştırılan iki kavram bunlar. Aydınlatma, veriyi kimin hangi amaçla işlediğini kişiye anlaşılır biçimde anlatmaktır. Rıza ise kişinin belirli bir işleme açıkça izin vermesidir.
Bunların hangi durumda hangisinin gerektiği, verinin ne için işlendiğine göre değişir ve burada verilecek genel bir cevap yanıltıcı olur. Örneğin programın kendisini yürütmek için gereken işleme ile pazarlama iletisi göndermek üzere yapılan işleme aynı zeminde durmaz.
Bu ayrımı işletmenizin somut durumuna göre hukukçunuzla netleştirin. Kayıt ekranında gösterdiğiniz metnin, gerçekte yaptığınız şeyi anlatması ise her hâlükârda iyi bir başlangıçtır.
İzni kayıt altına almak
Bir izin aldığınızı söyleyebilmek yetmez; ne zaman, hangi metinle ve hangi kanaldan alındığını gösterebilmek gerekir. Kağıt formla toplanan izinlerin en zayıf tarafı budur.
Dijital kayıtta izin, kaydın kendisiyle birlikte tutulur: hangi kutunun ne zaman işaretlendiği ve o an gösterilen metnin hangi sürüm olduğu. Metni güncellediğinizde eski sürümü silmeyin; hangi kullanıcının hangi metni gördüğü bilgisi, sonradan sorulduğunda tek dayanağınızdır.
Ticari elektronik ileti göndermek, Türkiye'de kişisel veri mevzuatından ayrı bir düzenlemeye de tabidir ve kendi izin kayıt gereklilikleri vardır. E-posta ile kampanya göndermeyi planlıyorsanız bu tarafı da danışmanınıza sorun.
Erişim ve silme talepleri
Bir misafir bir gün arayıp hakkımda hangi bilgiler var ya da kaydımı silin diyecektir. Bu talebe hazırlıklı olmak, teknik bir mesele olmaktan çok bir süreç meselesidir.
- Talebin kime ulaşacağı belli olsun. Kasadaki personel yerine tek bir e-posta adresi ya da sorumlu kişi tanımlayın.
- Talebi kimin karşılayacağı ve hangi sürede cevaplanacağı yazılı olsun.
- Silme talebinde nelerin silineceği, nelerin yasal olarak saklanmaya devam edeceği önceden netleşsin; örneğin fatura kayıtları farklı mevzuata tabidir.
- Yapılan işlemi kayıt altına alın. Sildim demek ile ne zaman ve neyi sildiğinizi gösterebilmek arasında fark vardır.
Veri nerede duruyor?
İşletmeciye en az sorulan ama en çok gerekli olan sorulardan biri budur: misafir bilgileri fiziksel olarak nerede tutuluyor, kimin erişimi var, yedeği alınıyor mu?
Bulut tabanlı bir hizmet kullanıyorsanız bu sorunun cevabı sizde değil, hizmet sağlayıcıdadır; ama sorumluluk tamamen ondan geçmez. Sağlayıcınıza sunucuların nerede olduğunu, verinin yedeklenip yedeklenmediğini ve sözleşmede veri işleme konusunda ne yazdığını sorun. Cevabı yazılı isteyin.
Kendi tarafınızda tutmanız gereken kayıt daha basittir: hangi sistemlerde müşteri verisi var? Sadakat programı, kasa yazılımı, rezervasyon defteri, muhasebe, bir de büyük ihtimalle birinin telefonundaki eski bir liste. Bu envanteri bir kez çıkarmak, sonraki bütün adımları kolaylaştırır.
Bir sorun olduğunda
Veriyle ilgili aksaklıklar en çok küçük ve sıradan yollarla olur: ortak kullanılan bir hesabın şifresi paylaşılır, ayrılan personelin erişimi kapatılmaz, bir liste dışa aktarılıp bir yere gönderilir.
Böyle bir durumda ilk yapılacak şey erişimi kesmek ve ne olduğunu yazılı olarak kayda geçirmektir: ne zaman fark edildi, hangi veri etkilendi, kimler erişmiş olabilir. Bu kaydı tutmak, sonrasında atılacak her adımın zeminidir.
Bildirim yükümlülüğü doğup doğmadığı ve kime hangi sürede bildirileceği hukuki bir değerlendirme gerektirir. Tahmin yürütmeyin; bu noktada hukukçunuzla konuşun. Panik etmeden, kayıt tutarak ve hızlı hareket ederek yaklaşmak en doğrusudur.
Ekip içinde kim neyi görüyor?
Veri güvenliğinin en çok atlanan tarafı dışarısı değil, içerisidir. Kasa ekranında çalışan bir kasiyerin bütün misafir listesini dışa aktarabilmesi için hiçbir sebep yoktur.
Rol bazlı yetkilendirme tam olarak bunun içindir: kasiyer yalnızca önündeki işlemi görür, şube müdürü kendi şubesinin raporunu, merkez ekibi zincirin tamamını. Personel ayrıldığında erişimini kapatmayı da bu listenin bir parçası yapın.
Çok şubeli işletmede bu ayrımın nasıl kurulduğunu zincirde sadakat yönetimi yazısında ayrıntılı anlattık.
Özetle
Az veri toplayın, neden topladığınızı bilin, izni kayıt altına alın, kimin neye eriştiğini belirleyin ve talepler için bir yol tanımlayın. Bu beş madde, işin işletme tarafını büyük ölçüde karşılar.
Geri kalanı hukuk tarafıdır ve orada tahmin yürütmeye değmez. Metinlerinizi yazacak, süreçlerinizi kontrol edecek bir hukukçuyla çalışın.