Franchise Vermeden Önce KVKK Sorumlulukları Nasıl Planlanır?

Mevcut işletmenizde kullandığınız müşteri kayıt sistemi, ilk franchise işletmesi açıldığında farklı bir hukuki ilişkiye hizmet etmeye başlar. Merkezin tüm kayıtları görebilmesi teknik olarak mümkün olsa da bu, her veriye erişmesinin gerekli veya hukuka uygun olduğu anlamına gelmez. Franchise topluluğunu büyütmeden önce kişisel verilerin kim tarafından, hangi amaçla ve hangi sınırlar içinde işleneceğini belirlemek gerekir. Bu hazırlık, yalnızca bir gizlilik maddesi yazmaktan ibaret değildir.

1. Önce veri akışını ve tarafların rollerini belirleyin

İlk adım, mevcut işletmenizdeki kişisel veri akışını çıkarmaktır. Satış noktası yazılımı, çevrim içi rezervasyon, sadakat programı, personel yönetimi ve teknik destek araçlarını ayrı ayrı inceleyin. Her araç için toplanan veriyi, kullanım amacını, erişen kişileri ve verinin gönderildiği hizmet sağlayıcıları kaydedin.

Çalışma tablonuzda şu soruların cevapları bulunsun:

• Kayıt kiminle ilgilidir: müşteri, çalışan veya başka bir gerçek kişi mi?
• Veriyi ilk kim topluyor ve neden topluyor?
• Merkez hangi alanları görüyor; gerçekten bunların tamamına ihtiyaç duyuyor mu?
• Kayıt nerede saklanıyor ve başka bir ülkeye aktarılıyor mu?
• Kullanım amacı sona erdiğinde kayıt hakkında hangi işlem yapılıyor?

Veri sorumlusu ile veri işleyen ayrımını, sözleşmedeki etikete göre değil fiilî işleyişe göre yapın. Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen taraf veri sorumlusudur. Onun verdiği yetkiye dayanarak ve onun adına veri işleyen taraf ise veri işleyen olabilir. Franchise alanın bağımsız işletme olması veya yazılımın merkeze ait olması, tek başına bütün işlemlerdeki rolü belirlemez.

Örneğin franchise alan kendi çalışanlarının özlük süreçlerini yönetirken, merkez ortak sadakat programının amaçlarını belirliyor olabilir. Aynı taraf farklı süreçlerde farklı roller üstlenebilir. Bu nedenle bütün ilişkiyi tek bir rol tanımıyla açıklamaya çalışmayın.

2. Türkiye’deki hukuki çerçeveyi doğru kurun

Türkiye’de franchise ilişkilerini münhasıran düzenleyen özel bir franchise kanunu yoktur. Franchise verilmesine özgü genel bir kamu siciline kayıt veya standartlaştırılmış zorunlu sözleşme öncesi açıklama dosyası rejimi de bulunmaz. Bununla birlikte dürüstlük kuralından doğan doğru bilgilendirme yükümlülükleri devam eder; özel düzenlemenin bulunmaması hukuki serbestlik alanının sınırsız olduğu anlamına gelmez.

İlişkinin niteliğine göre 6098 sayılı Türk Borçlar Kanunu, 6102 sayılı Türk Ticaret Kanunu, 4054 sayılı Rekabetin Korunması Hakkında Kanun ve 6769 sayılı Sınai Mülkiyet Kanunu uygulanır. Kişisel veri süreçlerinde ise temel düzenleme 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur (KVKK).

Her veri işleme faaliyeti için uygun hukuki şartı belirleyin. Açık rıza, bütün işlemleri otomatik olarak hukuka uygun hâle getiren genel bir izin değildir. Sözleşmenin kurulması veya ifası gibi diğer işleme şartlarının uygulanabilirliği, somut işlem ve ilgili kişi bakımından değerlendirilmelidir. Merkez ile franchise alan arasındaki sözleşme, müşterinin verilerini paylaşmak için tek başına yeterli gerekçe oluşturmaz.

Aydınlatma metinleri de gerçek işleyişi yansıtmalıdır: Veri sorumlusunun kimliği, amaçlar, aktarım yapılan taraflar, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları açıklanmalıdır. VERBİS kayıt yükümlülüğü ise franchise kaydı değildir; her işletme bakımından geçerli yükümlülük ve istisnalar ayrıca incelenmelidir.

3. Paylaşımı azaltın, yazılım erişimlerini sınırlandırın

Merkezin işletme performansını izlemesi için her zaman müşteri adı, telefon numarası veya çalışan ayrıntıları gerekmez. Önce raporun amacını tanımlayın; ardından bu amacı karşılayan en dar veri kümesini seçin. Günlük satış toplamı yeterliyse müşteri bazlı kayıt istemeyin. Toplulaştırılmış raporların da kişilerin yeniden belirlenmesine imkân vermediğini kontrol edin.

Yazılımda görev bazlı erişim oluşturun. Franchise alan yalnızca kendi işletmesinin gerekli kayıtlarını görmeli; merkez çalışanlarının erişimi görevleriyle sınırlanmalıdır. Ortak kullanıcı hesapları yerine kişiye özgü hesaplar kullanın. İşten ayrılma, görev değişikliği ve teknik destek erişiminin sona ermesi için hesap kapatma adımlarını tanımlayın.

Bulut hizmeti seçerken yalnızca sunucunun konumunu sormayın. Yurt dışından uzaktan erişimi, yedekleme yerlerini ve alt hizmet sağlayıcıları da inceleyin. Yurt dışına aktarım varsa KVKK’nın aktarım hükümleri kapsamında uygun mekanizma belirlenmelidir. Yazılım sağlayıcısının genel bir “KVKK uyumludur” beyanıyla yetinmeyin.

Her kayıt grubu için saklama ölçütü oluşturun. Tek bir sürenin bütün müşteri ve çalışan kayıtlarına uygulanması yerine, amaçları ve kanuni saklama yükümlülüklerini değerlendirin. Silme, yok etme veya anonim hâle getirme işlemlerinin yedeklerde ve hizmet sağlayıcılarda nasıl uygulanacağını da açıklığa kavuşturun.

4. Sorumlulukları sözleşme ekine ve açılış kontrolüne taşıyın

Hazırladığınız veri haritasını, franchise sözleşmesine bağlı uygulanabilir bir kişisel veri ekine dönüştürün. Bu ekte süreç bazında roller, paylaşılacak veri kategorileri, amaçlar, erişim yetkileri, güvenlik tedbirleri ve hizmet sağlayıcı kullanım koşulları yer alsın. Ekin operasyonel uygulaması yazılım ayarlarıyla çelişmemelidir.

İlgili kişi başvurularının hangi adrese ulaşacağını ve yanlış tarafa gelen başvurunun nasıl yönlendirileceğini belirleyin. Veri ihlali şüphesinde kimin kimi bilgilendireceğini, kayıtların nasıl korunacağını ve değerlendirmeyi kimin yürüteceğini yazın. Taraflar arasındaki iç bildirim düzeni, kanuni bildirim yükümlülüklerinin yerine geçmez.

Açılıştan önce gerçek müşteri verisi yerine örnek kayıtlarla deneme yapın: Franchise alan başka işletmenin kayıtlarını görebiliyor mu? Merkez gereksiz alanlara erişebiliyor mu? Kapatılan kullanıcı hesabı hâlâ çalışıyor mu? Başvuru ve ihlal senaryolarında sorumlu kişiye ulaşılabiliyor mu?

Pratik sonuç: İlk franchise işletmesini açmadan önce veri akış tablosunu, süreç bazlı sorumluluk ekini ve erişim testini tamamlayın. Belirsiz kalan veri paylaşımlarını hukuk ve bilgi güvenliği uzmanlarıyla çözmeden sistemi kullanıma açmayın.