Güzellik Salonları İçin KVKK Rehberi: Müşteri Verisi, Fotoğraf ve Sağlık Bilgisi
Kısa cevap
6698 sayılı KVKK, güzellik salonunu müşteri verileri için veri sorumlusu yapar: müşteriyi aydınlatmak, verileri güvenli saklamak ve yalnızca gerektiği kadar işlemek salonun sorumluluğundadır. Anamnez formundaki sağlık bilgileri özel nitelikli kişisel veridir ve daha sıkı korunmalıdır; öncesi-sonrası fotoğrafların reklamda kullanımı için ise ayrı ve açık bir izin alınmalıdır.
Öne çıkanlar
- Salonunuz, müşteri verileri açısından KVKK'daki veri sorumlusudur; yazılım sağlayıcısı veri işleyendir.
- Aydınlatma yükümlülüğü her müşteri için geçerlidir; açık rıza ise yalnızca gerektiği durumlarda ve ayrı alınmalıdır.
- Sağlık bilgisi ve yüz fotoğrafı içeren kayıtlara erişimi sınırlayın; kişisel telefonlarda ve WhatsApp galerisinde saklamayın.
- Verileri yurt dışındaki bir sunucuda saklamak, KVKK'daki yurt dışı aktarım kurallarına tabidir; sağlayıcınıza hangi mekanizmayı kullandığını sorun.
- Bu yazı genel bilgilendirmedir, hukuki danışmanlık yerine geçmez.
Bir müşteri salonunuza ilk kez geldiğinde adını, telefonunu, doğum tarihini, kullandığı ilaçları, cilt hastalıklarını ve çoğu zaman yüzünün yakın plan fotoğrafını kayda geçirirsiniz. Bu, bir mağazanın müşterisi hakkında bildiğinden çok daha fazlasıdır ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) tam olarak bu tür bilgileri korumak için vardır.
Bu rehber, KVKK'yı bir avukat diliyle değil, salon günlüğü üzerinden anlatıyor: hangi veriyi işliyorsunuz, müşteriye ne söylemelisiniz, fotoğraflar için nasıl izin alırsınız ve bir sorun çıktığında ne yaparsınız. Ayrıntılı ve güncel yükümlülükler için mutlaka Kişisel Verileri Koruma Kurumu'nun kaynaklarına ve kendi hukuk danışmanınıza başvurun.
KVKK bir güzellik salonu için neden önemli?
KVKK, kişisel veri işleyen herkes için geçerlidir; işletmenin büyüklüğü bu yükümlülüğü ortadan kaldırmaz. Müşteri verilerini toplayan ve nasıl kullanılacağına karar veren salonunuz “veri sorumlusu”dur. Kullandığınız salon yazılımı, bulut sağlayıcısı veya muhasebeciniz ise sizin adınıza veri işleyen konumundadır.
Güzellik ve estetik sektörünü özel kılan, işlenen verinin niteliğidir. Sağlık bilgileri KVKK'da özel nitelikli kişisel veri sayılır ve daha sıkı koşullara bağlıdır. Yüz ve vücut fotoğrafları da kişiyi doğrudan tanımlayan hassas kayıtlardır.
Bir salonda hangi kişisel veriler işlenir?
Salonunuzdaki veri envanterini çıkarmak, KVKK uyumunun ilk adımıdır:
| Veri | Örnek | Nitelik |
|---|---|---|
| Kimlik ve iletişim | Ad soyad, telefon, e-posta, doğum tarihi | Genel kişisel veri |
| Randevu ve işlem geçmişi | Hangi hizmet, ne zaman, hangi uzman | Genel kişisel veri |
| Sağlık bilgileri | İlaçlar, alerjiler, hamilelik, cilt hastalıkları | Özel nitelikli kişisel veri |
| Fotoğraflar | Öncesi-sonrası, cilt analizi görüntüleri | Kişiyi tanımlayan veri; içeriğe göre sağlık verisi niteliği taşıyabilir |
| İletişim kayıtları | WhatsApp yazışmaları, e-postalar | Genel kişisel veri |
| Ödeme bilgileri | Fatura, ödeme tutarı, kapora | Genel kişisel veri |
Aydınlatma metni ile açık rıza arasındaki fark nedir?
Salonlarda en sık karıştırılan konu budur. Aydınlatma, müşteriye verisini neden ve nasıl işlediğinizi bildirmektir ve her durumda yapılmalıdır. Açık rıza ise belirli bir işlem için müşterinin özgür iradesiyle verdiği onaydır ve yalnızca kanunun başka bir hukuki sebep tanımadığı durumlarda gerekir.
| Aydınlatma metni | Açık rıza | |
|---|---|---|
| Ne zaman? | Veri toplanırken, her müşteri için | Başka hukuki sebep yoksa, belirli işlem için |
| Müşteri onaylamak zorunda mı? | Hayır, bilgilendirilir | Evet, özgürce ve ayrı olarak onaylar |
| Salon örneği | Randevu ve iletişim verilerinin işlenmesi | Fotoğrafın Instagram'da paylaşılması, kampanya mesajları |
| Hizmet şartı olabilir mi? | – | Hayır, açık rıza hizmet alma şartına bağlanmamalıdır |
Aydınlatma metnini “okudum, onaylıyorum” kutusuyla açık rızaya dönüştürmeye çalışmayın. Kurul, bu iki metnin birbirinden ayrılması gerektiğini vurgulamaktadır.
Öncesi-sonrası fotoğraflar için nasıl izin alınmalı?
Fotoğrafı işlemin takibi için çekmek ile sosyal medyada paylaşmak iki farklı amaçtır ve ayrı ele alınmalıdır. Takip amaçlı fotoğraf işlem kaydının bir parçasıdır; reklam ve sosyal medya kullanımı ise ayrı ve açık bir izne dayanmalıdır.
- Formda iki ayrı kutu kullanın: “İşlem takibi için fotoğraf çekilmesini kabul ediyorum” ve “Fotoğraflarımın salonun sosyal medya ve tanıtım materyallerinde kullanılmasını kabul ediyorum.”
- Paylaşım iznini zorunlu tutmayın; izin vermeyen müşteriye aynı hizmeti verin.
- Paylaşılacak fotoğraflarda mümkünse yüzü veya tanımlayıcı detayları (dövme, ben) kırpın.
- Müşteri izni geri çekerse yeni paylaşım yapmayın ve mevcut paylaşımları kaldırın.
- Fotoğrafları personelin kişisel telefon galerisinde değil, müşteri kaydına bağlı bir sistemde saklayın.
Güzellik salonunun VERBİS kaydı yapması gerekir mi?
VERBİS, veri sorumluları siciline kayıt sistemidir. Kayıt yükümlülüğü; çalışan sayısı, yıllık mali bilanço ve ana faaliyetin özel nitelikli kişisel veri işlemeye dayanıp dayanmadığı gibi kriterlere göre belirlenir. Kurul bu eşikleri zaman zaman güncellediği için güncel kriterleri VERBİS sayfasından kontrol edin.
Kayıt yükümlülüğünüz olmasa bile aydınlatma, veri güvenliği ve ilgili kişi başvurularını yanıtlama yükümlülükleri devam eder. Medikal estetik hizmeti veren veya sağlık verisini yoğun işleyen işletmeler durumlarını özellikle dikkatle değerlendirmelidir.
Müşteri verilerini yurt dışındaki bir sunucuda saklamak mümkün mü?
Bulut tabanlı yazılımların çoğu verileri yurt dışındaki veri merkezlerinde saklar. KVKK'nın 9. maddesi yurt dışına aktarımı belirli şartlara bağlar; 2024'teki değişiklikle yeterlilik kararı, standart sözleşme gibi uygun güvenceler ve arızi aktarım gibi mekanizmalar tanımlanmıştır. Standart sözleşme kullanılan durumlarda sözleşmenin Kurum'a bildirilmesi de gerekir.
Pratikte yapmanız gereken, yazılım sağlayıcınıza verilerin nerede saklandığını ve hangi aktarım mekanizmasının kullanıldığını sormaktır. Treatflow verileri Frankfurt'taki AB sunucularında SSL şifreleme ve günlük yedeklemeyle saklar; kendi aktarım dayanağınızı hukuk danışmanınızla birlikte netleştirin.
Salonda veri güvenliği için günlük olarak neler yapılmalı?
KVKK'daki “teknik ve idari tedbirler” kulağa büyük gelse de salon ölçeğinde çoğu basit alışkanlıklardır:
- Her personelin kendi kullanıcı hesabı olsun; ortak şifre kullanmayın.
- Sağlık bilgisi ve fotoğraflara yalnızca işlemi yapan uzmanlar erişsin.
- Müşteri fotoğraflarını ve formlarını WhatsApp'ta veya kişisel telefon galerisinde tutmayın.
- Kâğıt formlar varsa kilitli bir dolapta saklayın ve dijitale geçişi planlayın.
- Resepsiyon ekranında müşteri bilgilerinin bekleyen diğer müşteriler tarafından görülmemesine dikkat edin.
- İşten ayrılan personelin erişimini aynı gün kapatın.
- Kampanya mesajı gönderiyorsanız ticari elektronik ileti onayı ve İYS kaydı konusunu ayrıca değerlendirin.
Müşteri verilerinin silinmesini isterse ne yapılmalı?
KVKK'nın 11. maddesi müşteriye verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini ve şartları oluştuğunda silinmesini isteme gibi haklar tanır. Başvurular en geç 30 gün içinde ücretsiz olarak yanıtlanmalıdır (işlemin ayrıca bir maliyet gerektirdiği durumlar hariç).
Silme talebinde, saklamanızı gerektiren yasal bir yükümlülük olup olmadığını değerlendirin (ör. fatura kayıtları). Bunun dışında kalan veriler silinmeli veya anonim hâle getirilmelidir. Bir kişisel veri saklama ve imha politikası hazırlamak bu kararları kolaylaştırır.
Veri ihlali olursa salon ne yapmalı?
Çalınan bir tablet, yanlış kişiye gönderilen bir fotoğraf veya ele geçirilen bir hesap veri ihlali sayılabilir. Kurul kararına göre ihlal, öğrenildiği andan itibaren en geç 72 saat içinde Kurul'a bildirilmeli ve etkilenen kişilere de makul süre içinde bilgi verilmelidir.
- İhlali durdurun: şifreleri değiştirin, cihazı uzaktan kilitleyin, erişimleri kapatın.
- Ne olduğunu yazılı olarak kaydedin: ne zaman, hangi veriler, kaç müşteri.
- Hukuk danışmanınızla birlikte Kurul'a bildirimi değerlendirin.
- Etkilenen müşterileri bilgilendirin.
- Tekrarını önleyecek tedbiri alın ve ekibe anlatın.
Salonlar için KVKK kontrol listesi
Aşağıdaki listeyi yılda bir kez, ayrıca yeni bir hizmet, yazılım veya personel eklediğinizde gözden geçirin:
- Hangi verileri, hangi amaçla ve nerede sakladığınızı gösteren basit bir veri envanteri var.
- Aydınlatma metni web sitenizde, randevu sayfanızda ve formlarınızda erişilebilir.
- Açık rıza gereken işlemler (fotoğraf paylaşımı, kampanya mesajı) ayrı kutularla alınıyor.
- Yazılım ve bulut sağlayıcılarınızla veri işleme ve gerekiyorsa yurt dışı aktarım konuları sözleşmeyle düzenlenmiş.
- Her personelin kendi hesabı var, yetkiler role göre sınırlı.
- Müşteri başvurularını kimin ve nasıl yanıtlayacağı belli.
- Saklama ve imha süreleri yazılı olarak belirlenmiş.
- VERBİS kayıt yükümlülüğünüz güncel kriterlere göre kontrol edilmiş.
- Veri ihlali durumunda kimin ne yapacağı ekipçe biliniyor.
Sıkça sorulan sorular
Güzellik salonunun aydınlatma metni olması zorunlu mu?
Evet. Kişisel veri toplayan her veri sorumlusunun aydınlatma yükümlülüğü vardır. Metin; kimin veri sorumlusu olduğunu, verilerin hangi amaçla işlendiğini, kime aktarılabileceğini ve müşterinin haklarını açıklamalıdır.
Anamnez formu için açık rıza gerekir mi?
Sağlık bilgisi özel nitelikli kişisel veridir ve kanun bu tür veriler için sınırlı hukuki sebepler tanır. Güzellik salonları için açık rıza çoğu zaman pratik dayanaktır; hangi dayanağın sizin durumunuza uygun olduğunu hukuk danışmanınızla netleştirin.
Müşteri fotoğrafını Instagram'da izinsiz paylaşabilir miyim?
Hayır. Tanınabilir bir müşteri fotoğrafının tanıtım amacıyla paylaşılması için müşterinin ayrı ve açık izni gerekir. İzin, hizmet alma şartına bağlanmamalıdır ve geri çekildiğinde paylaşımı kaldırmanız gerekir.
Müşteri randevu hatırlatmaları için onay gerekir mi?
Randevu onayı ve hatırlatması gibi hizmetle doğrudan ilgili bilgilendirme mesajları genellikle ticari ileti sayılmaz. Kampanya, indirim ve tanıtım mesajları için ise ticari elektronik ileti onayı ve İYS kurallarına uymanız gerekir.
KVKK'ya uymayan salona ne olur?
Kanun, aydınlatma ve veri güvenliği yükümlülüklerine aykırılık için idari para cezaları öngörür. Cezalar her yıl yeniden değerleme oranına göre güncellenir. Bunun yanında müşteri güveninin kaybı da ciddi bir risktir.
İlgili Treatflow özellikleri
Kaynaklar
Salonunuzu tek yerden yönetin
Randevu, müşteri takibi, onam formları ve hatırlatmalar tek uygulamada. 30 gün ücretsiz, kredi kartı gerekmez.
Ücretsiz deneyin