Kuaför ve güzellik salonunda KVKK: müşteri verisi, önce/sonra fotoğrafı, kamera ve kampanya mesajları

Salonda KVKK neden önemli?

Kanun kişisel veriyi, kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar (m.3). Bir salonda bu tanıma girmeyen müşteri bilgisi neredeyse yoktur: telefon numarası, doğum günü, hangi ustayla çalışmayı tercih ettiği, en son hangi hizmeti aldığı, randevuya gelmediği günlerin kaydı, fotoğrafı. Bu bilgileri bir defterde, bir tablo dosyasında ya da bir randevu programında tutmanız sonucu değiştirmez; kanun otomatik olmayan yollarla yapılan işlemeyi de bir veri kayıt sisteminin parçası olduğu sürece kapsar.

Salon sahibi olarak siz bu verilerin veri sorumlususunuz: hangi bilginin neden ve nasıl tutulacağına siz karar verirsiniz. Randevu programı ya da bulut depolama gibi bir hizmet kullanıyorsanız, o hizmeti veren firma çoğunlukla sizin adınıza veri işleyen konumundadır. Kanun m.12/2, veri işleyenin aldığı güvenlik tedbirlerinden sizi onunla birlikte sorumlu tutar. Yani programı başkası yazmış olsa da müşteri verisinin güvenliği sizin de sorumluluğunuzdadır.

Kanunun temel ilkeleri salonda nasıl uygulanır?

Kanun m.4, kişisel verilerin hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar için, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini ve yalnızca gerekli süre kadar saklanmasını şart koşar. Bu ilkeler soyut görünse de salonda somut sorulara dönüşür:

Randevu ve iletişim bilgileri: hangi dayanakla işlenir?

Kanun m.5/1'e göre kişisel veriler kural olarak açık rıza olmadan işlenemez; ancak m.5/2 açık rıza gerekmeyen hâlleri sayar. Bunlardan biri, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmak kaydıyla sözleşme taraflarının verilerinin işlenmesinin gerekli olmasıdır (m.5/2-c). Müşteri sizden randevu aldığında aranızda bir hizmet ilişkisi kurulur; randevuyu kaydetmek, müşteriye ulaşmak ve hizmeti vermek için adı ve telefonu bu dayanakla işlenebilir. Fatura gibi vergi mevzuatından doğan kayıtlar için de veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi dayanağı (m.5/2-ç) gündeme gelir.

Sorun, bu temel bilgilerin zamanla başka amaçlara kaymasıdır. Randevu için alınan telefon numarasına kampanya mesajı göndermek, doğum günü kutlaması yapmak ya da numarayı başka bir işletmeyle paylaşmak, artık randevu amacının dışındadır. Amaç değiştiğinde dayanak da değişir; bu konuya kampanya mesajları bölümünde döneceğiz.

Aydınlatma: müşteriye ne söylemelisiniz?

Kanun m.10, veriler elde edilirken ilgili kişiye veri sorumlusunun kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve kanundaki haklarını bildirmeyi zorunlu tutar. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ bu bilgilendirmenin sözlü, yazılı ya da elektronik ortamda yapılabileceğini, ilgili kişinin talebine bağlı olmadığını ve yapıldığını ispatlamanın veri sorumlusuna ait olduğunu belirtir.

Salonda bunun pratik karşılığı şudur: resepsiyonda görünür bir yerde ve randevu aldığınız her kanalda (web sitesi formu, mesaj, telefon) kısa ve anlaşılır bir aydınlatma metni bulunur. Telefonla alınan randevularda metnin nerede okunabileceğini söylemek, yazılı kanallarda ise bağlantıyı paylaşmak ispat açısından işinizi kolaylaştırır. Web formları için ayrıntılı bir anlatımı iletişim formunda KVKK aydınlatma ve açık rıza yazımızda bulabilirsiniz.

Alerji ve cilt bilgisi: sağlık verisi niteliğindeki notlar

Kanun m.6/1, kişilerin sağlığıyla ilgili verileri özel nitelikli kişisel veri olarak sayar. Bir müşterinin belirli bir maddeye karşı hassasiyeti, cildinde bir rahatsızlık olduğu ya da hamile olduğu gibi notlar kişinin sağlığıyla ilgilidir. Bu yüzden bu tür bilgileri sıradan müşteri notlarından ayrı düşünmeniz gerekir.

Kanun m.6/3, özel nitelikli verilerin işlenmesini kural olarak yasaklar ve ancak sayılan hâllerden biri varsa mümkün kılar. Listenin başında ilgili kişinin açık rızası gelir. Diğer bentlerin bir kısmı sır saklama yükümlülüğü altındaki kişiler ve yetkili kuruluşlarca yürütülen tıbbi teşhis ve tedavi hizmetleri ya da istihdam ve sosyal güvenlik alanındaki hukuki yükümlülükler gibi belirli durumlara özgüdür. Bir salonun müşteri kartına düştüğü sağlıkla ilgili not için en açık yol çoğu zaman müşterinin açık rızasıdır. Kendi durumunuzda hangi şartın uygulanacağından emin değilseniz bir hukukçuya danışın.

Kanun m.3/a açık rızayı belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Salon açısından bunun anlamı:

• Rıza konuya özgü olmalı: "her türlü bilgimin işlenmesine izin veriyorum" gibi genel bir cümle yerine, örneğin "hassasiyet bilgimin yalnızca hizmet sırasında dikkate alınmak üzere müşteri kartıma not edilmesine" gibi açık bir ifade kullanın.
• Rıza bilgilendirmeye dayanmalı: müşteri bu notu kimin göreceğini ve ne kadar süre tutulacağını bilmeli.
• Rıza özgür olmalı: Kişisel Verileri Koruma Kurulunun SMS ile doğrulama kodu gönderilmesine ilişkin 2025/1072 sayılı ilke kararı, açık rızanın bir ürün ya da hizmetin ön şartı yapılması hâlinde özgür irade unsurunun zedeleneceğini ve geçerli bir rızadan söz edilemeyeceğini vurgular.
• Aydınlatma ile açık rıza ayrı işlemlerdir: Aydınlatma Tebliği, açık rızaya dayalı işlemede aydınlatmanın ve rızanın ayrı ayrı yapılmasını ister. Tek bir metnin altına tek imza almak yerine birbirinden bağımsız adımlar kurun.

Kanun m.6/4, özel nitelikli verilerin işlenmesinde Kurulun belirlediği yeterli önlemlerin alınmasını da şart koşar. Bu önlemlerin güncel ayrıntıları için Kişisel Verileri Koruma Kurumunun duyurularını takip edin. Salon içinde en azından şu düzeni kurun: sağlıkla ilgili notlar herkesin göreceği bir randevu ekranında değil, yalnızca hizmeti verecek kişinin erişebildiği bir alanda dursun; kâğıt formlar kilitli bir yerde saklansın; ihtiyaç kalmayan notlar silinsin.

Kanun m.6/1 özel nitelikli veriler arasında dini inancı ile kılık ve kıyafeti de sayar. Müşterinin ayrı bir bölümde hizmet alma tercihini not etmeniz gerekiyorsa gerekçeyi değil, yalnızca tercihi kaydedin.

Önce/sonra fotoğrafı paylaşımı ve açık rıza

Bir müşterinin yüzünün ya da onu tanıtabilecek ayrıntıların göründüğü bir fotoğraf kişisel veridir. Önce/sonra fotoğraflarını salonun sosyal medya hesabında, web sitesinde ya da vitrindeki ekranda yayımlamak, fotoğrafı randevu amacının çok ötesinde, herkese açık biçimde kullanmak anlamına gelir. Bunun için sözleşme dayanağına yaslanmak zordur; en sağlam yol, paylaşım öncesinde müşterinin açık rızasını almaktır.

Fotoğraf için açık rıza nasıl alınır?

• Fotoğrafı çekmeden önce müşteriye nerede paylaşmak istediğinizi açıkça söyleyin: salon hesabı, web sitesi galerisi, salondaki ekran ya da yalnızca iç arşiv.
• Yüzün görünüp görünmeyeceğini, etiketleme yapılıp yapılmayacağını konuşun. Bazı müşteriler yalnızca saçın arkadan görünmesine izin verir.
• Rızayı yazılı ya da kayıtlı bir kanaldan alın; ileride sorulduğunda kimin, neye, hangi tarihte izin verdiğini gösterebilin.
• Rıza vermeyen müşteriye hizmette hiçbir fark yaratmayın; fotoğraf izni indirim ya da öncelik karşılığı istenmemeli.
• Paylaşım izni ile kampanya mesajı onayını aynı kutuya bağlamayın; her biri ayrı bir konudur.

Müşteri daha sonra fotoğrafının kaldırılmasını isterse ne olacağı da önceden belli olmalı. Kanun m.7, işlenmeyi gerektiren sebepler ortadan kalktığında verilerin silinmesini ya da yok edilmesini, m.11 de ilgili kişinin bunu talep etme hakkını düzenler. Rızasını geri aldığını söyleyen müşterinin fotoğrafını yayından kaldırmak hem kanunun mantığına hem de müşteri ilişkisine uygun olandır. Sosyal medyada paylaşımın tanıtım boyutu için müşteri bulma rehberimize, fotoğraflarla bir sağlık ya da sonuç iddiasında bulunma sınırları için sağlık beyanlı tanıtım yazımıza bakın.

Salonda kamera kaydı

Salon içindeki güvenlik kamerası, görüntüsü kayda giren herkesin kişisel verisini işler: müşteriler, çalışanlar, ziyaretçiler. Okuduğumuz kanun metninde işyeri kamerasına özgü ayrı bir hüküm yoktur; bu yüzden genel ilkeler uygulanır. Kamerayı belirli ve meşru bir amaç için, örneğin güvenlik için kullanın ve bu amaçla sınırlı, ölçülü tutun (m.4). Kayıt alındığını ve neden alındığını girişte görünür bir aydınlatma metniyle duyurun (m.10). Kayıtlara kimlerin erişebileceğini sınırlayın ve kayıtları güvenli tutun (m.12).

Ölçülülük ilkesi salonda özellikle önemlidir: müşterinin üst değiştirdiği, saç yıkattığı ya da cilt bakımı aldığı bölümler, özel hayata en çok yaklaşan alanlardır. Kameranın bu alanları görmemesi, amacın güvenlik olduğu düşünüldüğünde ölçülülüğün doğal sonucudur. Kayıtları bir sosyal medya paylaşımına ya da çalışan değerlendirmesine malzeme yapmak ise baştaki amacın dışına çıkar. Kamera konusunda içinize sinmeyen bir durum varsa bir hukukçuya danışın.

Kampanya mesajları, kutlamalar ve İYS

Müşterilere kısa mesaj, e-posta ya da arama yoluyla tanıtım içeriği göndermek ayrıca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik kapsamındadır. Kanun m.6/1'e göre ticari elektronik iletiler ancak önceden onay alınarak gönderilebilir. Yönetmelik m.5, onayın İYS'de kayıtlı olmasını ister ve İYS'de onayı bulunmayan alıcılara ileti gönderilemeyeceğini açıkça söyler.

Salonlar için en kolay gözden kaçan nokta şudur: Yönetmelik m.5/1, kutlama ve temenni gibi içeriklerle işletmenin tanınırlığını artırmaya yönelik iletileri de onay gerektiren iletiler arasında sayar. Yani müşteriye gönderilen doğum günü ya da bayram mesajı, içinde kampanya olmasa bile onay gerektirir.

Hangi mesajlar için onay gerekmez?

Yönetmelik m.6, bazı bildirimleri onaydan muaf tutar: alıcının iletişime geçilmesi amacıyla bilgi verdiği durumlarda aldığı hizmetteki değişikliğe yönelik iletiler ile satın alma, tahsilat, bilgi güncelleme ve benzeri durumlara ilişkin bildirimler. Randevu onayı, saat değişikliği ya da iptal bildirimi gibi yalnızca alınan hizmete ilişkin mesajlar bu çerçevede değerlendirilebilir. Ancak aynı madde açık bir sınır koyar: bu tür bildirimlerde herhangi bir mal veya hizmet özendirilemez ve tanıtımı yapılamaz. Randevu hatırlatmasının altına "bu ay yeni bakım paketimizi deneyin" yazdığınız anda ileti ticari iletiye dönüşür.

Onay alırken uyulacak kurallar

• Onay metninde olumlu irade önceden işaretli olamaz (Yönetmelik m.7/8).
• Ticari ileti onayı, hizmetin verilmesi için ön şart yapılamaz (Yönetmelik m.7/9).
• Onay istemek için müşteriye ticari ileti gönderilemez (Yönetmelik m.7/4).
• İYS dışında aldığınız onaylar Yönetmelikte belirtilen süre içinde İYS'ye kaydedilmelidir; kaydedilmeyen onay geçersiz sayılır (Yönetmelik m.7/11 ve m.7/12).
• Her iletide ret imkânı, iletinin gönderildiği kanaldan ve ücretsiz olarak sunulur (Yönetmelik m.9/3 ve m.9/4).
• İletide esnaf için ad soyad ile T.C. kimlik veya vergi kimlik numarası, tacir için MERSİS numarası ve ticaret unvanı bulunur; ayrıca en az bir iletişim bilgisi yer alır (Yönetmelik m.8).

KVKK açık rızası ile ticari ileti onayı aynı şey değildir; birini almak diğerinin yerine geçmez. Kişisel Verileri Koruma Kurulunun SMS ile doğrulama kodu gönderilmesine ilişkin 2025/1072 sayılı ilke kararı, hizmet sırasında gönderilen doğrulama kodunun ne işe yaradığının açıkça anlatılması gerektiğini ve bu yolla müşteriyi yanıltarak ticari ileti için rıza alınmasının hukuka aykırı olduğunu ortaya koyar. Ayrıntılar için KVKK açık rıza ve İYS onayı farkı, İYS nedir ve tacir ve esnafa ticari ileti yazılarımıza bakın.

Veri güvenliği ve ekip düzeni

Kanun m.12, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almasını ister. Bir salonda bu tedbirler genellikle şunlardır:

• Her çalışanın kendi kullanıcı hesabı olsun; ortak şifre kullanmayın.
• Çalışanlar yalnızca işleri için gereken bilgiyi görsün: resepsiyon randevuyu, uzman ise hizmet notunu.
• Müşteri bilgilerini çalışanların kişisel telefonlarındaki mesajlaşma gruplarında dolaştırmayın.
• İşten ayrılan çalışanın erişimini aynı gün kapatın; m.12/4 öğrenilen verileri açıklamama yükümlülüğünün görevden ayrıldıktan sonra da sürdüğünü belirtir.
• Kâğıt kayıtları kilitli dolapta tutun, artık gerekmeyenleri güvenle imha edin.
• Kullandığınız programın verileri nerede sakladığını, yedeklediğini ve silme talebinde neler yapılabildiğini sağlayıcınıza yazılı olarak sorun.

Kanun m.12/5, verilerin kanuni olmayan yollarla başkalarınca ele geçirilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurula bildirmesini ister. Telefon çalınması, hesabın ele geçirilmesi gibi bir olayda ne yapacağınızı önceden düşünmek, panik anında doğru adımı atmanızı sağlar. Programınızı seçerken bu soruları sormanın bir yolu olarak kuaför, berber ve güzellik salonları için hazırladığımız yazılım de dahil olmak üzere her seçeneği aynı ölçütlerle değerlendirin; seçim ölçütleri için kuaför randevu programı yazımıza bakabilirsiniz.

Bir salon gününde KVKK: örnek akış

Sabah resepsiyon, randevu ekranında yalnızca isimleri, saatleri ve hizmet türlerini görür. İlk müşteri yeni gelen biridir; kayıt sırasında aydınlatma metninin yerini gösterirsiniz ve sadece randevu için gereken bilgileri alırsınız. Müşteri bir maddeye hassas olduğunu söyler. Uzman, bu bilgiyi kartına yazmak için ayrı bir onay ister; müşteri onaylar ve not yalnızca uzmanın göreceği alana düşer.

Öğleden sonra bir müşterinin saç tasarımı çok beğenilir. Uzman fotoğraf çekmek ister; önce salon hesabında paylaşılacağını ve yüzün görünmeyeceğini söyler, müşteri onay verince fotoğraf çekilir ve onay kaydı arşive eklenir. Akşam yaklaşırken kampanya hazırlığı yapılır. Gönderim listesi, İYS'de onayı bulunan müşterilerle sınırlandırılır; yalnızca randevu için numarasını vermiş müşterilere kampanya gitmez. Gün sonunda kasadaki kâğıt formlar dolaba kaldırılır.

Sık yapılan hatalar

• Aydınlatma metnini yalnızca web sitesine koyup salonda ve telefonda hiç anmamak.
• Sağlıkla ilgili notları herkesin gördüğü randevu ekranına yazmak.
• Aydınlatma ve açık rızayı tek bir metinde, tek imzayla almak.
• Önce/sonra fotoğrafını "müşteri itiraz etmez" diye düşünerek izinsiz paylaşmak.
• Fotoğraf izni ya da ileti onayı karşılığında indirim vaat etmek ya da onayı hizmetin şartı yapmak.
• Doğum günü mesajının ticari ileti sayılmadığını sanmak.
• Randevu hatırlatmasına kampanya eklemek.
• Çalışanların kişisel telefonlarında müşteri listesi tutmak ve ayrılan çalışanın erişimini kapatmamak.
• Kamerayı müşterinin üst değiştirdiği ya da bakım aldığı alanları görecek şekilde konumlandırmak.

Sık Sorulan Sorular

Kuaförler KVKK'ya tabi mi?

Evet. Kanun, kişisel verileri işlenen gerçek kişilerle bu verileri işleyen gerçek ve tüzel kişilere uygulanır. Müşterisinin adını ve telefonunu kaydeden her salon, büyüklüğünden bağımsız olarak kanundaki ilkelere ve aydınlatma yükümlülüğüne uymak zorundadır.

Müşterinin alerji bilgisini kaydetmek için izin gerekir mi?

Alerji ve hassasiyet bilgisi kişinin sağlığıyla ilgili olduğu için 6698 sayılı Kişisel Verilerin Korunması Kanunu m.6 kapsamında özel nitelikli veridir. Bu verinin işlenmesi kural olarak yasaktır ve kanunda sayılan şartlardan birini gerektirir. Salon için en açık yol, müşterinin bu konuya özgü açık rızasını almaktır.

Müşterinin önce/sonra fotoğrafını sosyal medyada paylaşabilir miyim?

Müşteri tanınabiliyorsa fotoğraf kişisel veridir ve herkese açık paylaşım için paylaşım öncesinde alınmış, konusu belli ve özgür iradeyle verilmiş bir açık rıza en sağlam dayanaktır. Rızayı kayıt altına alın, hizmete şart koşmayın ve müşteri vazgeçerse paylaşımı kaldırın.

Randevu hatırlatma mesajı için İYS onayı gerekir mi?

Yalnızca alınan hizmete ilişkin, tanıtım içermeyen bildirimler Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik m.6 kapsamında onaydan muaf tutulabilir. Ancak mesaja bir kampanya ya da yeni hizmet tanıtımı eklenirse ileti ticari ileti olur ve İYS'de kayıtlı onay gerekir.

Salona kamera taktırırsam müşterilere haber vermem gerekir mi?

Kamera görüntüsü kişisel veridir ve kanun m.10, veriler elde edilirken aydınlatma yapılmasını zorunlu tutar. Girişte kayıt alındığını, amacını ve haklarını anlatan bir aydınlatma metnine yer verin; kamerayı amaçla sınırlı ve ölçülü konumlandırın.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: Kuaför salonu nasıl açılır? · Kuaför web sitesi · Kuaför müşteri bulma · Salonda personel çalıştırma · Web sitesi KVKK kontrol listesi · Açık rıza ve İYS onayı