KVKK uyumlu kuaför yazılımı nasıl seçilir: müşteri verisi ve hosting

Bir kuaför salonu, sahiplerinin çoğunun farkında olduğundan çok daha fazla kişisel veri tutar. Müşteri kartında ad, telefon numarası ve randevu geçmişi vardır; yanına renk formülleri, saç yapısına ilişkin notlar, geçmiş tahriş ve hassasiyet uyarıları ve zaman zaman fotoğraflar eklenir. Bu kayıtların her biri bir işlemedir ve sorumlusu salondur — yazılımı başkası işletiyor olsa bile.

Salon için bir ayrıntı burada baştan nettir: bu işleme ticari bir işlemedir. Kişisel ya da ev içi faaliyet istisnasına hiçbir koşulda dayanamazsınız; müşteri kartını kağıtta da tutsanız yazılımda da tutsanız sorumluluk aynı yerde, işletmede kalır. Bu yazı bu sorumluluğun salon gündeliğinde nasıl düzenlenebileceğini anlatır ve bir sistemin bu işi kolaylaştırıp kolaylaştırmadığını nereden anlayacağınızı gösterir. Hukuki danışmanlığın yerine geçmez: kendi işletmeniz için bağlayıcı bir görüş, hukuk danışmanınızdan ya da Kişisel Verileri Koruma Kurumu'nun yayımladığı rehberlerden alınır.

Açık olmak gerekirse: Salon Wizard Almanya'daki sunucularda barındırılır, işleme GDPR'ye göre yapılır ve bir veri işleme sözleşmesi sunulur. Salonun KVKK kapsamındaki kendi yükümlülükleri bu kapsamın dışındadır ve devredilemez.

Kişisel veri, belirli ya da belirlenebilir bir kişiye bağlanabilen her kayıttır. Salonda bu, adres listesinden çok daha fazlasını kapsar: hatırlatma için tutulan telefon numarası, online randevudan gelen e-posta adresi, randevu geçmişi, "sık geç kalıyor" notu, en son kimin ilgilendiği bilgisi ve renk formülünün kendisi.

Küçük bir grup kayıt ise ayrı bir dikkat ister: alerji, tahammülsüzlük, deri hastalığı, hamilelik ya da kemoterapi bilgisi. Bunlar KVKK'nın özel nitelikli kişisel veri dediği kategoriye girer ve bir telefon numarasına göre daha sıkı koşullara tabidir. Salonda kaydedilmeleri yasak değildir, danışmanlık için çoğu zaman gereklidir bile — ama kendi hukuki dayanaklarına, kural olarak müşterinin açık rızasına ihtiyaç duyarlar ve serbest not alanına gelişigüzel düşmemeleri gerekir.

Bunun pratik sonucu iki tanedir. Birincisi bu kayıtların kendi silme tarihi olmalıdır; genel müşteri kaydıyla aynı ömrü paylaşmak zorunda değildir. İkincisi hiçbir maliyeti olmayan bir ilk adımdır: müşteri kartınızın alanlarını bir kez baştan sona geçin ve hangilerine danışmanlık için gerçekten ihtiyaç duyduğunuzu işaretleyin. İhtiyaç duymadığınız alan toplanmak zorunda da değildir — toplanmayan veri ne yanlış saklanabilir ne de kazara açığa çıkar.

Saklama sorusu salonda çoğu işletmedekinden farklı sorulur, çünkü veri burada yıllarca işe yarar kalır. Üç yıl önceki bir renk formülü düzenli bir müşteride değerdir, eski kayıt değil. Tam da bu yüzden salonda nadiren silinir — ve tam da bu yüzden kartlar yedi yıldır uğramamış müşterilerle şişer.

Mantıklı olan, bir kez belirleyip sonra uyguladığınız bir kuraldır: artık gelmeyen bir müşterinin kaydı ne kadar süre kalır? Danışmanlık verileri için son randevudan sonraki iki yıl alışılmış bir büyüklüktür; fatura ve belgeler bundan bağımsız olarak mali mevzuatın saklama sürelerine tabidir ve müşteri kartıyla birlikte silinmez. Hangi sürenin sizin işletmeniz için uygun olduğunu mali müşavirinizle, sağlık bilgileri söz konusuysa hukuk danışmanınızla netleştirin. Bu kuralların yazılı hale getirildiği bir saklama ve imha düzeni, bir talep geldiğinde en çok işe yarayan belgedir.

Sonra sistemde böyle bir kuralın uygulanabilir olup olmadığını kontrol edin: hareketsiz müşteri kayıtlarını size gösteriyor mu? Tek bir kayıt, geçmiş randevuları kullanılamaz hale getirmeden silinebiliyor mu? Yalnızca "her şeyi sakla" seçeneğini tanıyan bir sistem, temizlik işini tamamen el emeğine çevirir. Kartın hangi alanları taşıması gerektiği için dijital kuaför müşteri kartı yazısına bakabilirsiniz.

Bir yazılım müşteri verisini sizin için sakladığı anda roller netleşir: salon veri sorumlusudur, sağlayıcı sizin adınıza işleyen veri işleyendir. Muhatap ve denetim karşısında yanıt veren taraf sizsiniz; sorumluluğu sözleşmeyle devrettiğiniz bir taraf yoktur. Aranızdaki koşulların yazılı bir sözleşmede durması bu yüzden sonradan tamamlanacak bir formalite değildir.

Karardan önce üç şeyi sorun. Birincisi: böyle bir sözleşme var mı ve satış ekibine sormadan görülebiliyor mu? İkincisi: sunucular nerede — Türkiye'de, Avrupa'da, başka bir yerde? Üçüncüsü: hangi alt işleyenler devrede? Neredeyse hiçbir sağlayıcı her şeyi kendi işletmez; barındırma, e-posta gönderimi, SMS gönderimi ve hata kayıtları çoğu zaman başka hizmet sağlayıcılar üzerinden yürür ve bunlar sizin görebileceğiniz bir listede durmalıdır.

Sunucunun yeri Türkiye dışındaysa bu bir kusur değildir ama kendi başlığıdır: KVKK, kişisel verinin yurt dışına aktarılmasını ayrı koşullara bağlar ve bu koşulların işletmenizde nasıl karşılandığını danışmanınızla netleştirmeniz gerekir. Aynı görüşmede Veri Sorumluları Sicili kaydı yükümlülüğünün sizin ölçeğinizde doğup doğmadığını da sorun; bu iki sorunun yanıtı işletmeden işletmeye değişir.

Bir nokta düzenli olarak gözden kaçar: yazılımın etrafında kendi kullandığınız araçlar da müşteri verisi işler. Randevunun mesajlaşma uygulamasından gönderilmesi, kişisel bilgisayardaki bir tablo dosyasında tutulan müşteri listesi, iş telefonunun galerisindeki fotoğraf. Bu yan yollar pratikte asıl salon yazılımından daha sık zayıf halkadır.

Tek kişilik salonda bu soru pek fark edilmez, ekipte hızla somutlaşır. Resepsiyondaki yardımcının, bir müşterinin kemoterapi sonrası belirli bir işlemi almaması gerektiği notunu görmesi şart mı? Çıraklar bütün müşterilerin tam randevu geçmişine mi, yoksa yalnızca o günün randevularına mı erişmeli?

Temel kural kulağa geldiğinden basittir: herkes işi için gerekeni görür, fazlasını görmez. Pratikte bu, sistemin roller arasında ayrım yapabilmesi — resepsiyon, ekip, yönetim — ve birisi başka bir görev üstlendiğinde bu rollerin değiştirilebilmesi demektir.

Pratikte en çok aksayan durum ayrılmalardır. Biri salondan ayrıldığında erişimi kapatılmalıdır — ama sistemdeki geçmişi silinmemelidir, yoksa eski randevular kimseye bağlanamaz. Bu yüzden sistemin bir erişimi, geçmişi de beraberinde götürmeden devre dışı bırakıp bırakamadığını önceden netleştirin. Ve bu adımı kimin yapacağını belirleyin: işten ayrılma günü kimsenin aklına gelmeyen bir erişim çoğu zaman aylarca açık kalır.

Bu başvurular seyrek gelir ama gelir — çoğunlukla e-postayla, bazen resepsiyonda sözlü olarak. Biri salonun kendisi hakkında ne sakladığını öğrenmek ister, bir diğeri silinmek ister, üçüncüsü yanlış bir telefon numarasının düzeltilmesini ister. Yanıt için yasada tanımlı bir süre vardır ve yanıt vermesi gereken taraf yazılım sağlayıcısı değil, salondur.

Bu yüzden ortada başvuru yokken iki şeyi hazırlayın. Birincisi: bu müşterinin verisinin nerelerde durduğunu biliyor musunuz — kartta, takvimde, mesaj geçmişinde, muhasebede. İkincisi: sistemden elle yazmadan eksiksiz bir bilgi çıktısı alabiliyor musunuz? Müşteri kaydı başına bir dışa aktarma, buradaki asıl emeği ortadan kaldırır.

Silmede ikinci bölümdeki çekince geçerlidir: her şey gidemez. Faturaya konu bilgiler mali saklama sürelerine tabidir ve danışmanlık verileri silinse bile kalır. Bu ikisinin somut olayda nasıl bağdaştığı, tam da hukuk danışmanının ya da Kişisel Verileri Koruma Kurumu'nun bağlayıcı biçimde yanıtlayabileceği sorudur; bunun gibi bir rehber yalnızca sorunun nerede doğduğunu gösterebilir. Ödeme ve belge verisinin neden ayrı bir dünya olduğu için kasasız salon yazılımı yazısına bakın.