Sadakat Kartında Yeni KVKK Kuralı: Mağazalar İçin Uygulama Rehberi

Kasada müşterinin telefon numarasını yazıp sadakat puanını kullanıyorsunuz; o numaranın gerçekten o müşteriye ait olduğundan emin misiniz? Kişisel Verileri Koruma Kurulu artık bu soruyu soruyor. 22 Temmuz 2026’da alınan ve 13 Ağustos 2026 tarihli Resmî Gazete’de yayımlanan kararla, sadakat kartı ve telefon numarasıyla yapılan alışverişlerde anlık kimlik doğrulaması zorunlu hale geldi. Uyum tarihi başta 28 Ağustos 2026’ydı; Kurul altı ay ek süre tanıyıp 28 Şubat 2027’ye çekti. Süre uzadı diye konu ertelenmiş sayılmaz, tam tersine hazırlığa daha fazla zaman kaldı.

Kurul’un sorunu gördüğü nokta neresi

Şubat 2026’daki ilk ilke kararının gerekçesi gayet somut: kasiyer, müşterinin telefon numarasını ya da kart numarasını girdiğinde, işlemin numaranın gerçek sahibinin rızasıyla yapıldığını doğrulayan hiçbir mekanizma yoktu. Bir başkasının numarasını ezbere bilen kişi o hesaba puan yazdırabiliyor, biriken indirimi kullanabiliyor, bazı zincirlerde hesap hareketlerini görebiliyordu. Kurul, sözleşme metinlerine “sorumluluk müşteridedir” ibaresi koymanın teknik tedbir yerine geçmediğini açıkça yazdı. Karar gıda, kozmetik, teknoloji, yapı market ve giyim zincirlerindeki sadakat programlarını kapsıyor; e-ticaret değil, öncelikle fiziksel kasa senaryosu hedefleniyor.

Bu, aslında yeni bir sorun değil. Sadakat programı işleten hemen her mağaza zincirinde kasiyerler yıllardır “numaranızı alabilir miyim” diye soruyor, gelen cevabı da doğrulamadan sisteme giriyor. Sorun şimdiye kadar gündeme gelmemiş olması; Kurul’un bu ilke kararıyla söylediği şey, artık gelmiş olduğu.

”Doğrulama” tam olarak ne demek

Kanun tek bir yöntem dayatmıyor, amaç odaklı yazılmış: hangi yöntemi seçerseniz seçin, o anda gerçek kart/numara sahibinin işlemden haberdar olduğunu ve onay verdiğini gösterebilmeniz gerekiyor.

Yöntem	Nasıl işler	Uygulama zorluğu
SMS tek kullanımlık kod	Kasada girilen numaraya anlık kod gider, kasiyer kodu ister	Orta — SMS API entegrasyonu gerekir
Mobil uygulama onayı	Müşteri kendi telefonundan işlemi onaylar	Yüksek — uygulama altyapısı şart
QR / fiziksel kart okutma	Numara girişi devre dışı, kart veya QR fiziksel olarak okutulur	Düşük — mevcut POS’a eklenti yeterli
Kayıt PIN’i	Müşterinin üyelik sırasında belirlediği 4 haneli kod	Düşük — yazılımsal, donanım gerektirmez

Küçük bir zincir için en hızlı başlangıç genelde QR/kart okutma ya da PIN; SMS altyapısı olmayan işletmede birkaç haftada kurulabiliyor. Mobil uygulaması olmayan işletme için uygulama onayını zorunlu tutmak anlamsız, o yatırım zaten farklı bir karardır.

Yöntem seçerken tek kriter uygulama maliyeti olmamalı. Kasadaki işlem süresi de önemli — yoğun saatte SMS kodunun gelmesini beklemek kuyruğu uzatıyor, buna karşılık fiziksel kart okutma neredeyse anlık. Çok şubeli bir zincirde bu birkaç saniyelik fark, günün sonunda ciddi bir müşteri memnuniyeti meselesine dönüşebiliyor.

POS sisteminize nasıl entegre edersiniz

• Sadakat yazılımı sağlayıcınıza (kart/telefon eşleştirmesini yapan modül) doğrulama API’si olup olmadığını sorun; çoğu yerli POS/CRM sağlayıcısı bu ay içinde bir güncelleme duyurdu ya da duyuracak.
• SMS OTP seçtiyseniz kasa ekranına 60 saniyelik kod giriş alanı eklenmesi yeterli, ayrı donanım gerekmiyor.
• Kasiyer eğitiminde “hızlı geç” alışkanlığını kırın — doğrulama adımı atlanabilir olursa fiilen uygulanmıyor demektir, denetimde bu fark edilir.
• Aydınlatma metninizi güncelleyin: yeni doğrulama adımı da bir veri işleme faaliyeti, m.10 kapsamında müşteriye bildirilmesi gerekiyor.
• Doğrulama loglarını (hangi işlemde yapıldı, hangi yöntemle) saklayın; denetimde ilk istenen kanıt bu olacak.

Takvim ve ceza riski

28 Şubat 2027 nihai tarih ama bu kadar geniş bir sürede işi son haftaya bırakmak alışılmış bir hata. POS sağlayıcısındaki güncelleme sırası, kasiyer eğitimi, aydınlatma metni revizyonu birlikte iki-üç ay sürebiliyor; özellikle çok şubeli zincirlerde şube başına devreye alma zamana yayılıyor. 6698 sayılı Kanun’un 18. maddesi, teknik tedbir eksikliğini idari para cezasına bağlıyor; tutar her yıl yeniden değerleme oranında güncelleniyor. Denetim genelde şikayet üzerine başlıyor — bir müşterinin “hesabım izinsiz kullanıldı” bildirimi, o zincirin tüm şubelerindeki uygulamayı gündeme getirebiliyor.

Sık sorulan sorular

Sadakat kartı basılı olmayan, yalnızca telefon numarasıyla puan toplanan işletmeler de kapsamda mı? Evet. Karar fiziksel kart bastırıp bastırmadığınıza değil, telefon numarası veya kart numarasıyla müşteri kimliğinin eşleştirilmesine bakıyor.

E-ticaret sitemizdeki üyelik sistemi de bu kapsama giriyor mu? Karar öncelikle fiziksel kasa senaryosunu hedefliyor; online alışverişte zaten hesap girişi (şifre, çoğu zaman iki adımlı doğrulama) kimlik doğrulamasını sağlıyor. Riskli olan tam olarak fiziksel kasadaki numara girişi.

Tek şube küçük bir işletmeyiz, öncelik nereden başlamalı? POS sağlayıcınızla görüşün; birçok yerli sağlayıcı bu değişikliği zaten paketine ekledi. Sağlayıcınız hazır değilse PIN tabanlı doğrulama, yazılım güncellemesiyle en hızlı devreye alınan seçenek.

Mevcut sadakat programı verilerini (geçmiş işlem kayıtlarını) de mi gözden geçirmemiz gerekiyor? Karar ileriye dönük işlemleri hedefliyor, geçmiş kayıtları silmenizi istemiyor. Ama doğrulama sistemini kurarken mevcut müşteri kaydınızdaki telefon numaralarının güncelliğini kontrol etmek işe yarar — değişmiş ya da yanlış kayıtlı numara, yeni sistemde sürekli hataya düşer.

Mağaza zincirinizin POS altyapısını bu doğrulama adımına göre değerlendirmek isterseniz iletişime geçin — hangi yöntemin sizin sisteminize hızlı ve düşük maliyetle oturacağına birlikte bakalım.