Franchise ve Bayilik Ağında Müşteri Verisi Kimin Sorumluluğunda? Ortak CRM, Sadakat Programı ve Sözleşme Bitince Müşteri Listesi

Kısa cevap: franchise alan da bayi de kendi tüzel kişiliğiyle kurduğu müşteri ilişkisinde ayrı bir veri sorumlusudur, marka sahibinin kurduğu merkezi sistemde onun talimatıyla veri işlediği ölçüde ise veri işleyen olabilir. Aynı ağda iki rol yan yana durur ve hangisinin geçerli olduğunu sözleşmeye yazılan etiket değil, kararı kimin verdiği belirler. Kurul'un 30 Ocak 2020 tarihli ve 2020/71 sayılı kararı ölçütleri sıralıyor: hangi verinin hangi yöntemle toplanacağına, işlemenin amacına, saklama süresine ve erişim yetkisine kim karar veriyor, ilgili kişiyle kim doğrudan muhatap oluyor, işlemeden kim fayda sağlıyor. Bu soruların cevabı şubeden şubeye değişmez ama akıştan akışa değişir. Kasada alınan telefon numarası ile merkezi sadakat programına yazılan puan aynı hukuki zeminde durmuyor, aynı kişinin sorumluluğunda da olmayabilir.

Ayrımın ilk sonucu tüzel kişilikte ortaya çıkıyor. Kendi şubenizi açtığınızda veri sorumlusu değişmez, şube aynı tüzel kişiliğin parçasıdır ve VERBİS kaydı tek kalır. Franchise verdiğinizde karşınızda başka bir şirket var: kendi vergi numarası, kendi çalışanları, kendi kasası. 6585 sayılı Perakende Ticaretin Düzenlenmesi Hakkında Kanun'un 3. maddesi bayi işletmeyi zaten böyle tanımlıyor, sözleşmeye dayalı olarak bir işletmenin mal ve hizmetlerinin satışına aracılık eden ve kendi adına bağımsız çalışan işletme. Bağımsız çalışan işletme kendi aydınlatma metnini yapar, kendi saklama süresini belirler, kendi ihlalini bildirir. Sicile kayıt eşiği de onun için ayrıca değerlendirilir. Kurul'un 2018/87 sayılı kararı ve bunu güncelleyen 6 Temmuz 2023 tarihli ve 2023/1154 sayılı kararı uyarınca yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıttan istisna tutuluyor. Aynı markanın on işletmecisinden üçü VERBİS'e kayıtlı olmak zorunda kalırken yedisi muaf olabilir. Müşteri tabelayı görür, hukuk unvanı görür.

Rol haritasını çıkarmanın pratik yolu akışları tek tek saymak. Tipik bir ağda liste şöyle uzuyor: kasa ve fiş kayıtları, sadakat programı üyeliği, randevu veya rezervasyon sistemi, çağrı merkezi, kampanya ve SMS gönderimi, şikayet ve iade kaydı, kamera görüntüleri, servis ve garanti formları, şube personelinin bordrosu, merkezi eğitim portalındaki kayıtlar. Her satırın yanına iki kolon koyun: bu veriyi kim topluyor, amacını ve süresini kim belirliyor. Sonuç genelde karışık çıkar, çıkması da normal. Bir restoran zincirinde şube, masa ayırtan müşterinin iletişim bilgisini kendi rezervasyon defteri için işlediğinde veri sorumlusu, aynı bilgiyi markanın merkezi uygulamasına yazdığında veri işleyen olabilir. Karmaşayı sözleşmeye tek bir cümle yazarak çözmeye çalışmayın, akış tablosunu sözleşmenin eki yapın. Bir şikayette sorulan soru sözleşmede ne yazdığı değil, bu veriyi kimin hangi amaçla ve ne kadar süreyle tuttuğu oluyor.

Etiketin tek başına kimseyi korumadığını gösteren karar, Kurul'un 18 Temmuz 2024 tarihli ve 2024/1176 sayılı kararı. Olay şöyle gelişiyor: internet tarifesi arayan bir kişi, başka bir şirkete ait görselleri taşıyan sahte bir siteye giriyor, telefon numarasını ve ardından kimlik numarasını paylaşıyor, kendisini arayan kişi sistemde kayıtlı bilgilere erişebiliyor ve markaya geçişin yalnızca port değişikliği olacağını söyleyerek yanıltıyor. Arayan taraf, operatörün satış bayisi. Kurul, bayinin sözleşme uyarınca veri işleyen konumunda olduğunu, operatörün emir ve talimatları çerçevesinde hareket etmesi gerekirken başka bir firmaya ait görselleri kullanarak potansiyel müşterileri yanılttığını, dolayısıyla somut olayda veri sorumlusu sıfatıyla hareket ettiğini tespit etti. Ceza bayiye kesildi: Kanun'un 12. maddesinin birinci fıkrasının (a) bendindeki hukuka aykırı işlemeyi önleme yükümlülüğünün ihlali nedeniyle 450.000 TL. Operatör hakkında Kanun kapsamında yapılacak bir işlem bulunmadığına karar verildi, çünkü Kurul o olayda operatörün veri sorumlusu sıfatını kaybettiği değerlendirmesinden hareket etti. Kararı iki yönden okumak gerekiyor. Bayi için: ben sadece veri işleyenim cümlesi, kendi adına iş yapmaya başladığınız anda geçersiz. Marka sahibi için: bu dosyada kurtaran şey bayinin talimat dışına çıktığının gösterilebilmesiydi, yani yazılı talimat ve denetim kaydının varlığı.

Merkezi sistem üzerinden çalışan bir ağda sözleşme metni işin yarısını oluşturuyor. Kanun'un 12. maddesinin ikinci fıkrası, verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde veri sorumlusunu güvenlik tedbirlerinin alınması bakımından o kişiyle birlikte müştereken sorumlu tutuyor. Üçüncü fıkra veri sorumlusuna kendi kurum veya kuruluşunda gerekli denetimleri yapma ya da yaptırma yükümlülüğü getiriyor. Dördüncü fıkra öğrenilen kişisel verilerin amaç dışında kullanılmasını ve başkasına açıklanmasını yasaklıyor, bu yasak görevden ayrılmayla da sona ermiyor. Kurumun kişisel veri güvenliği rehberi veri işleyenle yazılı sözleşme yapılmasını öngörüyor. Sözleşmede aranacaklar belli: işleme talimatının kapsamı ve sınırı, hangi rolün hangi ekranı ve hangi alanı görebileceği, alt işleyen kullanımının izne bağlı olduğu, ihlal halinde derhal bildirim, denetim ve yerinde inceleme hakkı, ilişki bittiğinde verinin iadesi ya da imhası ve imhanın kayda geçirilmesi. Franchise sözleşmesinin sonuna iki paragraf gizlilik hükmü eklemek bunun yerine geçmiyor.

Ortak müşteri sistemlerinde aynı hata tekrarlanıyor: bir kullanıcı adı, bütün ağın müşteri havuzu. Kanun'un 4. maddesi işlemenin amaçla bağlantılı, sınırlı ve ölçülü olmasını istiyor ve bu ilke ekran yetkisi düzeyinde de çalışıyor. Bir işletmecinin başka ildeki şubenin müşteri listesini açabilmesinin işle ilgili bir gerekçesi yok. Yapılacaklar sade: şube bazlı filtre, rol bazlı yetki matrisi, dışa aktarma yetkisinin ayrıca tanımlanması, her aktarmanın log kaydı, personel ayrıldığında yetkinin aynı gün kapatılması. Dışa aktarma kaydını özellikle önemseyin. Sahada en sık görülen senaryo, ilişkinin bozulmaya başladığı dönemde yapılan büyük bir liste indirmesi ve aylar sonra kimin indirdiği sorusuna kimsenin cevap verememesi. Veri güvenliği tedbirlerinin alınmaması 2026 tutarlarıyla 256.357 TL ile 17.092.242 TL arasında idari para cezası anlamına geliyor ve ceza, sorumluluğun kimde olduğu tespit edildikten sonra o tarafa kesiliyor.

Sadakat programları bu yıl ayrı bir başlık haline geldi. Kurul'un 11 Şubat 2026 tarihli ve 2026/266 sayılı ilke kararı 28 Şubat 2026 tarihli ve 33182 sayılı Resmî Gazete'de yayımlandı; konusu, sadakat kartı üyesinin cep telefonu numarasının ya da kart numarasının kasada söylenmesiyle ve hiçbir doğrulama yapılmadan üçüncü bir kişi tarafından kullanılabilmesi. Karar bir doğrulama mekanizması kurulmasını istiyor ve yayım tarihinden itibaren altı aylık uyum süresi tanıdı, o süre 28 Ağustos 2026'da doldu. Ağ yapısında sorunun nerede çıktığı açık: mekanizmayı kuracak taraf programın sahibi, yani genellikle marka. Kasada numarayı isteyen, doğrulama adımını atlayan ya da müşteri acele ediyor diye geçen kişi ise franchise alanın çalışanı. Mekanizma merkezde kurulup sahada uygulanmıyorsa uyumdan söz edilemez. Doğrulama adımını satış ekranında atlanamaz hale getirin, şube eğitimlerini kayda bağlayın, atlanan işlemlerin raporunu haftalık izleyin.

Aydınlatma metinlerinde en sık rastlanan eksik, veri sorumlusunun kim olduğunun hiç yazılmaması. Metin marka adıyla başlıyor, altında hangi şirketin unvanı, adresi ve iletişim kanalı bulunduğu görünmüyor. Müşteri başvurusunu kime yapacağını bilmiyorsa yükümlülük yerine getirilmiş sayılmaz. 2020/71 sayılı karar işin kolay tarafını söylüyor: aydınlatma bizzat veri sorumlusu tarafından ya da onun yetkilendirdiği bir kişi tarafından yerine getirilebilir, yetkilendirilen kişi veri işleyen de olabilir. Merkezi programın metnini sahada franchise alanın personeli sunabilir. Franchise alanın kendi amacıyla işlediği veriler için ise kendi metni gerekiyor ve o metinde kendi unvanı yazıyor. Metnin kurgusu 2026'da ayrıca değişti. Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı 24 Mart 2026 tarihli ve 33203 sayılı Resmî Gazete'de yayımlandı ve aydınlatma ile açık rıza metinlerinin aynı içerikte, iç içe ya da tek bir onayla sunulmasını hukuka aykırı saydı. İki metin ayrı başlıkla ve ayrı beyanla duracak. Aydınlatma yükümlülüğünün ihlali 2026 tutarlarıyla 85.437 TL ile 1.709.200 TL arasında idari para cezası demek.

İlgili kişi başvuruları ağ yapısında düzenli olarak süresinde cevaplanamıyor. Kanun'un 13. maddesi cevap süresini en geç otuz gün olarak belirliyor ve süre başvurunun veri sorumlusuna ulaşmasıyla işlemeye başlıyor. Müşteri dilekçesini şubeye bırakıyor, şube merkeze ilettiğini söylüyor, merkez kendisine resmen ulaşmadığını söylüyor, otuzuncu gün geçiyor. Yazılı bir yönlendirme protokolü bu riski büyük ölçüde kapatır: başvurunun hangi kanalla ve kaç saat içinde kime aktarılacağı, cevabı kimin yazacağı, hangi unvanla gönderileceği. Veri ihlallerinde de ayrım aynı mantıkla kurulur. Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı, ihlalin öğrenilmesinden itibaren 72 saat içinde Kuruma bildirim yapılmasını, ilgili kişilere de makul olan en kısa sürede ulaşılmasını istiyor. Merkezi sistemde yaşanan sızıntıyı marka sahibi bildirir, bir şubenin kendi bilgisayarındaki fidye yazılımını işletmeci bildirir. Veri işleyen sıfatıyla hareket eden taraf ihlali kendi başına Kuruma bildirmez, gecikmeksizin veri sorumlusuna haber verir. Bir Kurul kararına uymamak 427.263 TL ile 17.092.242 TL arasında idari para cezasına konu.

Yurt dışı merkezli bir markanın işletmecisiyseniz günlük akışın içinde Kanun'un 9. maddesi duruyor. Merkezi rezervasyon sistemi, global satış noktası altyapısı, yurt dışındaki raporlama panosu, marka merkezinin istediği müşteri memnuniyeti verisi ve çoğu zaman yurt dışında barındırılan eğitim portalı bu kapsama giriyor. Kurul bugüne kadar hiçbir ülke için yeterlilik kararı yayımlamadı, dolayısıyla çoğu şirket için yol standart sözleşmeden geçiyor. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmek zorunda; usul ve esaslar 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te düzenlendi. Bildirimi yapmamanın 2026 karşılığı 90.308 TL ile 1.806.377 TL arasında idari para cezası. Ara sıra rapor gönderiyoruz, arızi sayılır savunması da tutmuyor; her ay tekrarlanan ve sistemin olağan işleyişinin parçası olan bir akış arızi değildir.

Marka denetimi ile çalışan izlemesi arasındaki çizgi kolayca kayboluyor. Gizli müşteri raporları çoğu zaman kasiyerin adını, saatini ve davranış değerlendirmesini içeriyor, şube kameralarına merkezden uzaktan erişim veriliyor, merkezi eğitim portalında personelin sınav sonuçları tutuluyor. Şube personelinin işvereni franchise alandır, o verilerin asıl sorumlusu da odur. Marka sahibi kamera görüntüsünü kendi standart denetimi için kendi kararıyla izliyorsa kendi amacıyla işlemiş olur, bu durumda hukuki sebebini kendisi bulmak ve çalışanları buna göre bilgilendirmek zorunda. Ölçü de belli: belirli bir denetim için tanımlı süreyle ve tanımlı kişiyle sınırlı bir erişim ile merkezde gün boyu açık duran canlı yayın aynı şey değil. Sözleşmeye şu üç satırı yazmak tartışmaların çoğunu bitirir: merkez hangi halde kayda erişebilir, erişimi kim onaylar, erişim nerede loglanır.

En sert tartışma ilişki bittiğinde çıkıyor, müşteri listesi kimde kalacak? Cevap tek parça değil. Franchise alanın veri işleyen sıfatıyla eriştiği merkezi kayıtlar onun değildir; ilişki bitince erişimi kapanır, elindeki kopyalar imha edilir ve imha kayda geçer. Kendi müşteri ilişkisinde, kendi kasasında ve kendi defterinde oluşan veri ise marka sahibine kendiliğinden geçmez, geçmesi için Kanun'un 8. maddesindeki aktarım şartlarından birinin bulunması gerekir ve ağın müşterisi bizim cümlesi bu şartlardan biri değil. Ayrılan tarafın eski müşterilere kampanya mesajı atması da ayrı bir mesele: ticari elektronik ileti onayı, onayı alan hizmet sağlayıcı adına verilir ve İleti Yönetim Sistemi'nde o hizmet sağlayıcının kaydı altında durur, ağdan ayrılmakla başka bir tüzel kişiye geçmez. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik periyodik imha aralığının altı ayı geçemeyeceğini söylüyor, bu takvimi ağdaki her şirket kendisi için kurmak zorunda. Kısa bir kontrol listesiyle bitirelim: her akış için rol yazılı hale getirildi mi ve akış tablosu sözleşmenin eki mi, merkezi sistem için veri işleyen hükümleri ayrı bir metin olarak mı duruyor, müşteri sisteminde şube bazlı yetki ve dışa aktarma kaydı var mı, sadakat programındaki doğrulama adımı sahada fiilen uygulanıyor mu, aydınlatma metinlerinde hangi tüzel kişinin unvanı yazıyor, yurt dışına giden akışlar listelendi mi ve beş iş günlük bildirim yapıldı mı, ilişki bittiğinde hangi verinin kimde kalacağı sözleşmede yazılı mı. Bu başlıkların birkaçında net cevap veremiyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesinde franchise ve bayilik sözleşmelerinizi, merkezi sistem yetkilerinizi ve aydınlatma metinlerinizi birlikte gözden geçirip önce hangi adımı atmanız gerektiğini çıkarabiliriz.

Randevu Al