Restoran KVKK Uyumu: 7 Madde Pratik Rehber

1. Aydınlatma Metni Koy

Kişisel veri topladığın her durumda — telefon, e-posta, adres, kamera görüntüsü dahil — aydınlatma zorunlu. Metin beş şeyi söylemeli: veri sorumlusunun kim olduğu, verinin hangi amaçla işlendiği, kime ve hangi amaçla aktarılabileceği, hangi yöntemle ve hangi hukuki sebeple toplandığı ve kişinin hakları. Rezervasyon ve sipariş için bir örnek:

“Veri sorumlusu: [işletmenin ticaret unvanı ya da adı soyadı, adresi]. Adınızı ve telefon numaranızı rezervasyon ve siparişinizi yerine getirmek amacıyla, sözleşmenin kurulması ve ifası hukuki sebebine dayanarak (KVKK m.5/2-c), bu form üzerinden elektronik ortamda topluyoruz. Verileriniz yalnızca rezervasyon ve sipariş yazılımı sağlayıcımıza aktarılır. KVKK m.11 kapsamındaki haklarınız için: [e-posta].”

Aydınlatma metnini onaylatma: müşteriden yalnız metni okuduğuna dair geri bildirim alabilirsin, “kabul ediyorum” diye onay isteyemezsin. “Verileriniz kanundaki şartlar kapsamında işlenir” gibi belirsiz ifadeler de yeterli sayılmıyor.

2. Pazarlama İçin Ayrı Onay Al

Kampanya SMS'i, e-postası ya da araması için önceden onay şart. Onay kutusu işaretsiz gelmeli ve onayı hizmetin ön şartı yapamazsın. Bu onayları İleti Yönetim Sistemi'ne (İYS) kaydetmelisin; kaydedilmeyen onay geçersiz sayılır.

Sadakat programı ve kampanya için, aydınlatma metninden ayrı bir açık rıza metni ve ayrı bir onay kutusu kullan. Uygulama bildirimi gönderiyorsan sipariş bildirimi ile kampanya bildirimi için ayrı ayrı izin al; tek onay ikisini birden kapsamaz.

3. Saklama Sürelerini Yaz

• Defter ve belgeler: vergi mevzuatında 5 yıl, ticaret mevzuatında 10 yıl.
• Müşteri iletişim bilgisi: kanunda sabit bir süre yok; işleme amacı bitince silinir.
• Ticari ileti onay kayıtları: onay sona erdikten sonra 3 yıl.
• Kamera kaydı: KVKK sabit süre vermiyor; mümkün olan en kısa süre saklanmalı ve sistemde otomatik imha bulunmalı.

Süresi dolan veriyi, saklama ve imha politikan varsa en geç altı ayda bir yapacağın periyodik imhada; yoksa üç ay içinde silmelisin.

4. Başvuruyu 30 Günde Cevapla

Müşteri “verilerimi sil” derse başvuruyu en geç 30 gün içinde sonuçlandırmalı ve cevabı yazılı olarak ya da elektronik ortamda bildirmelisin; telefonla söylemek cevap sayılmıyor. Saklama yükümlülüğün süren veriler için talebi, gerekçesini açıklayarak reddedebilirsin.

5. VERBİS'e Kayıt Gerekiyor mu?

Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyeti özel nitelikli kişisel veri işlemek olmayan işletmeler VERBİS kaydından muaf. Ölçüt ciro değil, bilanço toplamı. Bilanço esasına göre defter tutmuyorsan yalnız çalışan sayısına bakılır.

6. Çalışanlara Eğitim Ver

Garson müşteri telefonunu not defterine yazmamalı; sistemde tutulmalı. Ayrılan personelin sistem erişimini hemen kes. (RediOS'ta personel PIN oturumu 12 saat sonra kendiliğinden kapanır.)

7. İhlalde 72 Saat Kuralı

Bir veri ihlalini öğrendiğinde gecikmeden ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirmelisin. Etkilenen kişileri belirledikten sonra onlara da makul olan en kısa sürede haber vermelisin.

Cezalar (2026)

KVKK idari para cezaları 2026'da 85.437 TL'den başlıyor:

• Aydınlatma yükümlülüğünü yerine getirmeme: 85.437 – 1.709.200 TL
• Veri güvenliği yükümlülüklerine aykırılık (hukuka aykırı işleme dahil): 256.357 – 17.092.242 TL
• VERBİS'e kayıt ve bildirim yükümlülüğüne aykırılık: 341.809 – 17.092.242 TL

Tutarlar 2026 yılına aittir; idari para cezaları her takvim yılı başında yeniden değerleme oranında artırılır.

Dayanaklar

Son doğrulama: 8 Ekim 2026. Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi durumun için ilgili düzenlemenin güncel metnine bak ya da bir hukukçuya danış.