Kıyafet Kiralama Mağazasında KVKK: Müşteri Ölçüsü, Telefonu ve Fotoğrafı Nasıl Saklanır?

Mağazanızda Farkında Olmadan Biriken Kişisel Veriler

Gelinlik, abiye ya da kaftan kiralayan bir mağazada gün içinde ne kadar kişisel veri toplandığını çoğu işletmeci fark etmez. Randevu defterine yazılan ad-soyad ve telefon, kiralama sözleşmesindeki kimlik ve adres bilgileri, prova sırasında not alınan beden ve ölçü değerleri, telefonla çekilen prova fotoğrafları, hatta müşterinin düğün tarihi bile KVKK kapsamında kişisel veridir. Veriyi kim topladıysa sorumluluk da ondadır: yani mağaza sahibi olarak sizde.

• •Ad-soyad, telefon ve adres: sözleşme ve teslimat için toplanır, en sık işlenen veri grubudur.
• •Beden ve ölçü notları: göğüs-bel-basen gibi değerler doğrudan kişiyle eşleştiği için kişisel veridir.
• •Prova ve teslim fotoğrafları: kişinin görüntüsü tek başına kişisel veridir; paylaşımı ayrıca rıza gerektirir.
• •Kiralama sözleşmeleri ve kapora kayıtları: kimlik bilgisi, imza ve ödeme bilgisi içerir.

"Biz küçük esnafız, KVKK büyük şirketlerin işi" yanılgısı yaygın ama yanlıştır. Kanun, kişisel veri işleyen herkesi kapsar; işletmenin ölçeği yükümlülüğü ortadan kaldırmaz, yalnızca bazı kayıt muafiyetleri tanıyabilir. Tek kişilik bir atölye de beş şubeli bir mağaza da aynı temel kurallara tabidir.

Aydınlatma Yükümlülüğü Pratikte Ne Anlama Geliyor?

Aydınlatma yükümlülüğü kulağa bürokratik gelse de özü basittir: müşteriye hangi bilgisini neden aldığınızı, ne kadar süre saklayacağınızı ve kiminle paylaşabileceğinizi söylemek. Bunu yapmanın en pratik yolu, kiralama sözleşmenizin başına ya da ekine kısa ve anlaşılır bir aydınlatma metni koymaktır.

• •Metni bir sayfayı geçmeyecek kadar sade tutun; ağır hukuk dili yerine müşterinin gerçekten anlayacağı cümleler kullanın.
• •Kasanın yanına ya da prova odasına görünür bir bilgilendirme asmak, sözlü sürecin iyi bir destekleyicisidir.
• •Ölçü alırken ve fotoğraf çekerken amacı tek cümleyle söyleyin: "Ölçülerinizi tadilat ve prova takibi için kaydediyoruz."

Teknik olarak aydınlatma bir imza işi değil, bilgilendirme işidir; ancak yükümlülüğü yerine getirdiğinizi ispat etmeniz gerektiğinde imzalı bir nüsha en güçlü delildir. Aydınlatma metnini sözleşmeyle birlikte imzalatmak bu yüzden sektörde yerleşik bir pratiğe dönüşmüştür.

Açık Rıza Ne Zaman Gerekir? Fotoğraf Paylaşımına Dikkat

Her veri için rıza toplamanız gerekmez; bu da yaygın bir yanılgıdır. Kiralama sözleşmesinin kurulması ve yerine getirilmesi için zorunlu olan veriler — ad, telefon, ölçü, teslim tarihi — sözleşmenin ifası hukuki sebebine dayanır ve ayrıca açık rıza istemez. Rıza, amaç sözleşmenin dışına taştığı anda devreye girer.

Sektördeki en kritik örnek, müşterinin prova ya da teslim fotoğrafını mağazanın sosyal medya hesabında paylaşmaktır. Bu paylaşım kiralama hizmetinin bir parçası değil, tamamen tanıtım amaçlıdır; dolayısıyla açık rıza şarttır. Provada "bir fotoğrafınızı alalım mı?" diye sormak yetmez — fotoğrafın nerede, ne amaçla yayınlanacağını açıkça söylemeniz ve müşterinin buna özgürce evet demesi gerekir.

• •Rızayı sözleşmeden ayrı bir kutucuk ya da ayrı bir izin formu olarak alın; sözleşme metninin içine gömmeyin.
• •Kiralama hizmetini rızaya bağlamayın; "paylaşım izni vermezsen kiralamam" yaklaşımı rızayı geçersiz kılar.
• •Müşteri fikrini değiştirirse paylaşımı kaldırın; açık rıza her zaman geri alınabilir.

Veriyi Ne Kadar Saklamalı, Ne Zaman İmha Etmeli?

KVKK’nın temel mantığı şudur: veri, toplanma amacı ortadan kalktığında silinmeli, yok edilmeli ya da anonim hale getirilmelidir. Ama bu, iş bitince her şeyi hemen silmek anlamına gelmez; sözleşmeler ve ödeme kayıtları için vergi ve borçlar hukuku mevzuatının öngördüğü saklama ve zamanaşımı süreleri vardır. Olası bir uyuşmazlıkta sözleşmeyi ibraz edememek de başlı başına bir risktir.

Pratik denge şöyle kurulabilir: sözleşme, senet ve ödeme kayıtlarını mevzuattaki süreler boyunca saklayın; buna karşılık prova fotoğrafı ve ölçü notu gibi hizmete özgü verileri, kiralama tamamlanıp iade ve depozito süreci kapandıktan makul bir süre sonra imha edin. Müşteri yıllar sonra tekrar gelirse ölçüyü yeniden almak, gereksiz veri taşımaktan çok daha güvenlidir.

• •Takviminize yılda bir ya da iki kez "veri temizliği" günü koyun; süresi dolan kayıtları topluca imha edin.
• •Kağıt imhasında belgeleri yırtıp çöpe atmak yerine okunamaz hale getirin; eski defterler ve fotokopiler en çok unutulan kaynaktır.
• •Dijital silme işlemini yedeklerde de yapın; asıl kopyası silinip yedekte yaşamaya devam eden veri imha edilmiş sayılmaz.

Günlük Hayattaki Görünmez Riskler

Uygulamada sorun çoğu zaman kötü niyetten değil, yıllardır süregelen alışkanlıklardan çıkar. Aşağıdaki manzaraların her biri sektörde neredeyse her mağazada görülebilir; ama KVKK gözüyle bakıldığında her biri ciddi bir açıktır:

• •Randevu defterinin tezgâhta açık durması ya da fotokopisinin çekilip terziye, ütücüye elden verilmesi.
• •Ortak WhatsApp grubunda müşteri adının, telefonunun ve prova fotoğrafının paylaşılması: mesaj bir kez gidince kontrol tamamen kaybolur.
• •Prova fotoğraflarının her çalışanın kendi telefonunda birikmesi; çalışan ayrıldığında fotoğraflar da onunla birlikte gider.
• •Müşteri listesinin şifresiz bir Excel dosyası olarak herkesin açabildiği bilgisayarda durması.
• •Ayrılan personelin telefon rehberinde yüzlerce müşteri numarasının kalması.

Bu risklerin ortak paydası verinin dağınıklığıdır: bilgi deftere, telefonlara, WhatsApp’a ve bilgisayara aynı anda dağıldığında kimin neye eriştiğini bilemez, bir talep geldiğinde veriyi toplayıp silemezsiniz. Toparlanmanın ilk adımı, müşteri verisinin yaşadığı yer sayısını bilinçli olarak azaltmaktır.

Makul Güvenlik Önlemleri ve İhlal Anında Yapılacaklar

Kanun sizden banka düzeyinde bir güvenlik altyapısı beklemez; işlediğiniz verinin niteliğine uygun, makul ve gerektiğinde gösterilebilir önlemler bekler. Küçük bir mağaza için bu, birkaç disiplinli alışkanlıkla büyük ölçüde sağlanabilir:

• •Her çalışana kişiye özel kullanıcı hesabı açın; ortak şifreyle herkesin her kayda girdiği düzenden vazgeçin.
• •Güçlü ve başka yerde kullanılmayan şifreler belirleyin; mümkünse iki adımlı doğrulamayı etkinleştirin.
• •Yetkileri ayırın: prova notunu görmesi gereken personelin tüm ciro ve sözleşme arşivini görmesi gerekmez.
• •Çalışan ayrıldığı gün hesabını kapatın; bunu bordro işlemleri kadar doğal bir rutin haline getirin.

Buna rağmen bir ihlal yaşanırsa — telefonun çalınması, hesabın ele geçirilmesi, dosyanın yanlış kişiye gitmesi — panikle iz silmek en kötü tepkidir. Önce neyin ve kimlere ait verinin etkilendiğini tespit edin; ardından etkilenen müşterilere ve Kişisel Verileri Koruma Kurumuna bildirim yükümlülüğünüzü değerlendirin. Mevzuat bildirim için oldukça kısa süreler öngörür; güncel süreyi ve usulü kurumun resmî sitesinden (kvkk.gov.tr) teyit edin ve attığınız her adımı belgeleyin.

Son bir not: bu yazı yol gösterici bir çerçeve sunar, hukuki danışmanlık değildir; tereddütlü konularda resmî kaynak Kişisel Verileri Koruma Kurumudur. Operasyon tarafında ise müşteri, ölçü ve sözleşme kayıtlarını deftere ve telefonlara dağıtmak yerine kişiye özel hesaplarla erişilen tek bir sistemde tutmak, yukarıdaki önlemlerin çoğunu kendiliğinden çözer. Provya gibi kıyafet kiralama yönetim yazılımları bu kayıtları mağazanıza özel, izole bir yapıda sakladığı için KVKK tarafındaki düzeni kurmayı da kolaylaştırır.