Restoran ve Kafe Yazılımlarının KVKK Uyumluluğu Nedir?

1. Restoran ve Kafelerde KVKK Uyumunun Çerçevesi

KVKK, yalnızca teknoloji şirketleri veya büyük veri işleyen kurumları değil, günlük hayatın parçası olan restoran ve kafeleri de doğrudan etkileyen bir mevzuattır. Çünkü bu işletmeler:

• Müşteri bilgilerinin yer aldığı sadakat ve rezervasyon sistemleri kullanır,
• Çalışanlara ait özlük dosyaları ve vardiya kayıtları oluşturur,
• İşyeri güvenliği için kamera kayıtları ile sürekli görüntü alır ve saklar.

Bu nedenle restoran ve kafeler; müşterileri, çalışanları, tedarikçileri ve iş ortaklarına ait kişisel verileri işlerken KVKK’nın temel ilkelerine uygun davranmak ve aydınlatma, açık rıza, saklama ve imha gibi yükümlülükleri yerine getirmek zorundadır.

KVKK uyumsuzluğu, yalnızca idari para cezaları açısından değil; müşteri güveninin zedelenmesi ve marka itibarının zarar görmesi bakımından da önemli riskler doğurur. Bu yüzden, restoran ve kafe yazılımlarında KVKK uyumu, artık bir “güvenlik ve rekabet avantajı” konusu hâline gelmiştir.

2. Sadakat Yazılımları ve Veri İşleme Mantığı

Sadakat yazılımları, restoran, kafe, bayi veya zincir marka müşterilerinin ve kimi zaman çalışan ve bayilerin bağlılığını artırmak için tasarlanmış sistemlerdir. Mütekabiliyet, bağlılık ve kayıptan kaçınma gibi davranışsal ilkelerden yararlanarak; müşterilerin sipariş sıklığı, sepet büyüklüğü, tercih ettiği ürünler gibi verileri analiz eder ve bu analizlere göre:

• Özel kampanyalar, indirimler ve puan/ödül sistemleri sunar,
• Müşteri davranışlarını segmente eder ve profilleme yapar,
• Şube ve ürün bazında satış performansını izler.

Bu yazılımlar; bankacılık, eğlence, perakendecilik ve konaklama sektörlerinde yaygın olduğu gibi, restoran ve kafe işletmeciliğinde de sıkça kullanılmaktadır. Her sadakat modeli, doğrudan veya dolaylı olarak kişisel veri işleme faaliyeti anlamına gelir:

• Müşteri adı-soyadı, telefon numarası, e-posta adresi,
• Lokasyon bilgisi, sık tercih edilen şube veya masa,
• Sipariş geçmişi, harcama tutarı ve kampanya etkileşimleri.

Dolayısıyla sadakat yazılımlarının KVKK kapsamında aydınlatma, hukuki sebep seçimi (açık rıza, sözleşme, meşru menfaat vb.), saklama süreleri ve üçüncü taraf paylaşımı açılarından dikkatle tasarlanması gerekir.

3. Restoran ve Kafelerin KVKK Kapsamındaki Yükümlülükleri

Restoran ve kafeler; hem çalışanlara hem de müşterilere ait kişisel veri işledikleri için, KVKK kapsamında veri sorumlusu sıfatına sahiptir. Bu kapsamda öne çıkan başlıca yükümlülükleri şöyle özetleyebiliriz:

3.1 Kamera Kayıtları ve Aydınlatma Yükümlülüğü

• İşyerinde güvenlik amacıyla yapılan kamera kayıtları kişisel veri niteliğindedir.
• Kamera ile kayıt yapılan alanlara, herkesin görebileceği konumlarda açık ve anlaşılır aydınlatma metinleri yerleştirilmelidir.
• Aydınlatma metninde; veri sorumlusu, amaç, hukuki sebep, saklama süresi ve haklar gibi KVKK’da sayılan bulunmalıdır.

3.2 Çalışan ve Müşteri Verileri İçin Açık Rıza ve Aydınlatma

• Çalışanların özlük dosyaları, performans kayıtları, vardiya bilgileri gibi verileri; iş sözleşmesi, hukuki yükümlülük ve meşru menfaat çerçevesinde işlenirken, istisna dışı işlemler için açık rıza alınmalıdır.
• Müşteri sadakat verileri, kampanya ve pazarlama amaçlı veri kullanımı için; alınmalı ve kayıt altına alınmalıdır.

3.3 Amaçla Sınırlı Kullanım ve Saklama – İmha

• Sadakat sistemlerinde toplanan kişisel veriler yalnızca kullanılmalıdır; farklı bir amaç için yeniden kullanılması durumunda yeni bir hukuki sebep veya açık rıza gerekebilir.
• Verilerin saklama süresi dolduğunda, KVKK ve ilgili rehberlere uygun şekilde silme, yok etme veya anonim hale getirme işlemleri uygulanmalıdır.

4. KVKK ile Uyumlu Restoran Yazılımları İçin Gereklilikler

Restoran ve kafelere POS, adisyon, sadakat, rezervasyon, online sipariş gibi yazılım hizmetleri sunan firmaların, geliştirdikleri sistemleri KVKK’ya uyumlu hâle getirmeleri artık hem rekabet hem de mevzuat açısından zorunlu bir beklentidir.

KVKK uyumlu bir restoran yazılımında en az aşağıdaki unsurların bulunması beklenir:

• Web sitesi ve panel dokümantasyonu: Yazılım sağlayıcının sitesinde ve gerektiğinde uygulama içinde; Kişisel Veri Koruma Politikası, Aydınlatma Metni ve KVKK Başvuru Formu gibi temel dokümanlara erişim.
• Veri işleyen ilişkisi: Restoran, veri sorumlusu; yazılım firması ise çoğu senaryoda veri işleyen konumundadır. Bu nedenle sözleşmelerde KVKK’ya uygun veri işleme hükümleri bulunmalıdır.
• Veri tabanı ve sunucu konumu: Sadakat ve müşteri yönetim verilerinin tutulduğu sunucuların yurt içinde barındırılması tercih sebebidir; yurtdışı sunucularda ise veri aktarımı için KVKK’ya uygun hukuki çerçeve oluşturulmalıdır.
• Erişim ve loglama özellikleri: Hangi kullanıcının hangi veriye ne zaman eriştiğinin izlenebildiği, yetki seviyelerinin yapılandırılabildiği bir erişim kontrol altyapısı.

Web sitesinde bulunması önerilen başlıca KVKK dokümanları:

• Kişisel Veri Politikası
• Aydınlatma Metni (müşteri, çalışan, ziyaretçi, kullanıcı vb. için ayrı ayrı)
• KVKK Başvuru Formu (ilgili kişi hak başvuruları için)

5. Türkiye’deki Restoran Yazılım Firmalarının KVKK Analizi

Aşağıdaki tablo, Türkiye’de yaygın kullanılan bazı restoran yazılım firmalarının web siteleri üzerinde yapılan incelemeyi özetlemektedir. İnceleme; KVKK politikası, aydınlatma metni, KVKK başvuru formu ve sunucu konumu başlıklarına odaklanmaktadır.

Tablo, sektördeki birçok restoran yazılımı sağlayıcısının hâlen KVKK politikası, aydınlatma metni ve başvuru formu gibi temel dokümanları web sitelerinde görünür şekilde sunmadığını göstermektedir. Bu durum hem veri sorumlusu olan restoran ve kafeler hem de veri işleyen konumundaki yazılım firmaları açısından önemli bir uyum açığına işaret eder.

6. Sık Sorulan Sorular