Sadakat Kartları KVKK İlke Kararı 2026: Doğrulama ve Uyum Rehberi
Sadakat kartı, cep telefonu numarası veya üyelik numarası söylenerek kasada kullanılan basit bir indirim aracı gibi görünse de alışveriş geçmişi, puan, kampanya ve fatura kayıtları
Canonical URL: https://evrenozmen.com.tr/sadakat-kartlari-kvkk-ilke-karari-2026
Son kontrol: 8 Ekim 2026
Yazar: Evren Özmen, CPA / SMMM
Sadakat kartı, cep telefonu numarası veya üyelik numarası söylenerek kasada kullanılan basit bir indirim aracı gibi görünse de alışveriş geçmişi, puan, kampanya ve fatura kayıtlarını belirli bir kişiyle eşleştirir. Kişisel Verileri Koruma Kurulunun 11 Şubat 2026 tarihli ve 2026/266 sayılı İlke Kararı, kart sahibinin bilgisi dışında üçüncü kişinin telefon veya kart numarasını kullanabildiği doğrulamasız akışa son verilmesini öngörüyor. Uyum süresi daha sonra 28 Şubat 2027 tarihine kadar uzatıldı.
Kısa Cevap
Sadakat kartı sahibi adına kasada işlem yapılırken yalnız cep telefonu veya kart numarasının söylenmesi yeterli güvenlik yöntemi değildir. İşletme, işlemin kart sahibinin bilgisi ve rızası dahilinde gerçekleştiğini doğrulayan bir mekanizma kurmalıdır. Tek kullanımlık kod, mobil uygulama, barkod veya QR kod gibi yöntemler kullanılabilir; ancak seçilen yöntem veri minimizasyonu, güvenlik, erişilebilirlik ve işlem kaydı ilkelerine uygun tasarlanmalıdır. 2026/266 sayılı İlke Kararı için tanınan uyum süresi 28 Şubat 2027’ye kadar uzatılmıştır.
Kısa Özet
Sorun yalnız puanın başka kişi tarafından kullanılması değildir. Üçüncü kişinin kart sahibinin numarasını söylemesi, alışverişin ve bazen faturanın yanlış kişinin hesabına kaydedilmesine yol açabilir. Bu durum alışveriş profilinin bozulması, hatalı kişiselleştirme, yanlış fatura kaydı ve yetkisiz veri işleme riski doğurur. İşletme kasa, e-ticaret, mobil uygulama, çağrı merkezi ve kampanya sistemlerini tek bir doğrulama ve kayıt politikası altında ele almalıdır.
Net Cevap
Doğru uyum planı; bütün sadakat kartı temas noktalarını çıkarmak, üyelik ve pazarlama izinlerini ayırmak, kart kullanımında doğrulama uygulamak, başarısız veya şüpheli işlemleri kaydetmek, üçüncü taraf yazılım ve ajans sözleşmelerini gözden geçirmek, aydınlatma metinlerini güncellemek ve gereğinden fazla veri toplamamaktır. Sadece yeni bir onay kutusu eklemek 2026/266 sayılı kararın işaret ettiği güvenlik sorununu çözmez.
Sadakat Programınızı Ön İncelemeye Gönderin
İlk değerlendirme için şu bilgileri hazırlayın:
- Sadakat programının üyelik formu ve kullanım şartları
- Kasa, mobil uygulama, internet sitesi ve çağrı merkezi akışları
- Telefon numarası, kart numarası, barkod veya QR kullanım şekli
- Puan kazanma ve puan harcama kuralları
- Üyelik, kampanya ve ticari ileti tercih ekranları
- Aydınlatma ve açık rıza metinleri
- CRM, POS, e-fatura ve kampanya sistemi bağlantıları
- Yazılım sağlayıcısı, ajans ve diğer veri işleyen sözleşmeleri
- İhlal, yanlış eşleşme veya müşteri itirazı kayıtları
Başlangıç: https://evrenozmen.com.tr/iletisim
E-posta: info@ozmconsultancy.com
Hızlı Karar ve Dosya Yönlendirmesi
| Durum | İlk bakılacak sayfa | İlk hazırlanacak bilgi |
|---|---|---|
| Kasada telefon numarası söylenerek kart kullanılıyor | https://evrenozmen.com.tr/sadakat-kartlari-kvkk-ilke-karari-2026 | Mevcut kasa akışı ve doğrulama yöntemi |
| Kampanya SMS veya araması da yapılıyor | https://evrenozmen.com.tr/izinsiz-pazarlama-sms-arama-kvkk-cezasi | İzin kaynağı, İYS kaydı ve ret akışı |
| Güzellik merkezi kampanya/üyelik sistemi kullanıyor | https://evrenozmen.com.tr/guzellik-merkezi-sirket-kurulusu-ruhsat-vergi-kvkk-on-kontrol | Müşteri formu, işlem kaydı ve kampanya metinleri |
| Sağlık verisi sadakat profiline ekleniyor | https://evrenozmen.com.tr/ozel-hastane-doktor-muayenehane-sirket-kurulusu-vergi-kvkk | Veri envanteri, işleme amacı ve erişim yetkileri |
| Süreç ve sözleşmeler birlikte incelenecek | https://evrenozmen.com.tr/iletisim | Sistem şeması, metinler ve tedarikçi listesi |
2026/266 Sayılı İlke Kararı Ne Değiştirdi?
Kurul, üçüncü kişilerin başkasına ait cep telefonu numarasını veya sadakat kartı numarasını kasada söyleyerek işlem yapabilmesi sonucunda kart sahibinin hesabına yanlış alışveriş bilgisi veya fatura kaydı işlenebildiğini tespit etti. Bu nedenle kart sahibinin bilgisi dışında işlem yapılmasına imkan veren doğrulamasız uygulamanın sona erdirilmesi ve gerekli teknik/idari tedbirlerin alınması gerektiğini belirtti.
İlke Kararı 28 Şubat 2026 tarihli Resmi Gazete’de yayımlandı. İlk olarak altı aylık uyum süresi öngörülmüşken, Kurulun 22 Temmuz 2026 tarihli ve 2026/1491 sayılı kararıyla süre 28 Şubat 2027’ye kadar uzatıldı. Uzatma, işletmelerin beklemesi için değil; kasa, yazılım, mağaza ve müşteri deneyimi değişikliklerini kontrollü biçimde tamamlaması için bir geçiş dönemidir.
Hangi Doğrulama Yöntemleri Kullanılabilir?
Karar tek bir teknoloji dayatmıyor. İşlem ve risk yapısına göre farklı yöntemler birlikte kullanılabilir.
| Yöntem | Güçlü yön | Kontrol edilmesi gereken |
|---|---|---|
| SMS ile tek kullanımlık kod | Kart sahibine doğrudan teyit verir | Hat değişikliği, mesaj gecikmesi ve kod güvenliği |
| Mobil uygulama barkodu | Hızlı kasa deneyimi sağlar | Oturum güvenliği, ekran görüntüsü ve cihaz erişimi |
| Dinamik QR kod | Kısa süreli işlem doğrulaması sağlar | Kodun süresi, tekrar kullanım ve kayıt zinciri |
| Fiziksel kart + ek doğrulama | Telefon paylaşımını azaltır | Kayıp kart ve kartı kullanan kişinin yetkisi |
| Risk bazlı ek kontrol | Yüksek puan kullanımında güvenliği artırır | Kuralların şeffaflığı ve ayrımcılık oluşturmaması |
Doğrulama adımı gereğinden fazla veri toplamamalıdır. Kimlik fotokopisi almak veya her işlemde yeni açık rıza istemek, daha az müdahaleci bir yöntem yeterliyken ölçüsüz olabilir.
Üyelik, İndirim ve Pazarlama İzni Ayrılmalı
Sadakat programına üyelik, sadakat kartının kullanımı ve reklam/pazarlama mesajı gönderimi aynı işlem değildir. İşletmenin her amaç için hukuki sebebi, bilgilendirme metni ve tercih kaydı açık olmalıdır.
Kurulun 2019/198 sayılı kararında sadakat programına katılmayan müşterinin normal fiyattan alışverişe devam edebilmesi ve programın ek menfaat sağlaması halinde indirimin sadakat programına bağlanmasının tek başına açık rızanın koşul olarak dayatılması sayılamayacağı değerlendirildi. Ancak bu yaklaşım, her sadakat uygulamasının otomatik olarak uygun olduğu anlamına gelmez. 2019/82 sayılı kararda ucu açık, tutarsız ve çok geniş kapsamlı metinlerin sorun oluşturabileceği görüldü.
Bu nedenle şu kayıtlar ayrıştırılmalıdır:
- Sadakat programına üyelik ve programın işletilmesi
- Puan/indirim işleminin karta bağlanması
- Alışveriş geçmişinin analiz edilmesi
- Kişiselleştirilmiş teklif oluşturulması
- SMS, e-posta veya arama yoluyla ticari ileti
- Verilerin grup şirketi, ajans veya teknoloji sağlayıcısıyla paylaşılması
Kasa, E-Ticaret ve Mobil Uygulama Birlikte Ele Alınmalı
Sadece fiziksel mağazadaki kasayı güncellemek yeterli değildir. Aynı üyelik numarası internet siparişinde, mobil uygulamada, çağrı merkezinde veya teslimat sırasında kullanılabiliyorsa her kanalın kimlik doğrulama ve yetki kontrolü incelenmelidir.
Tek bir müşteri hesabına farklı kişilerin siparişlerinin düşmesi; segmentasyon, kampanya, iade, fatura ve müşteri hizmetleri kayıtlarını da bozar. Bu nedenle veri doğruluğu yalnız KVKK metni değil, muhasebe ve müşteri kayıtlarının güvenilirliği bakımından da önemlidir.
28 Şubat 2027’ye Kadar Uyum Planı
- Sadakat kartının kullanıldığı bütün fiziksel ve dijital kanalları çıkarın.
- Telefon/kart numarasıyla doğrulamasız işlem yapılan noktaları belirleyin.
- Puan kazanma, puan harcama, indirim ve fatura eşleşmesi risklerini ayırın.
- Uygun doğrulama yöntemini ve başarısız işlem politikasını belirleyin.
- POS, CRM, mobil uygulama ve e-ticaret entegrasyonlarını test edin.
- Aydınlatma, üyelik, pazarlama tercihi ve tedarikçi sözleşmelerini güncelleyin.
- Mağaza çalışanlarına numara doğrulama ve müşteri itirazı eğitimi verin.
- İşlem kayıtları, erişim yetkileri ve olay müdahale sürecini belgeleyin.
- Canlıya geçişten önce örnek mağaza ve yoğun saat testleri yapın.
- Son tarihten önce düzeltme ve müşteri iletişimi için pay bırakın.
En Sık Yapılan Hatalar
- Telefon numarasını bilen herkesin kartı kullanmasına izin vermek
- Sadece puan harcamada doğrulama yapıp alışveriş kaydını korumasız bırakmak
- Üyelik ile reklam iznini tek kutuda birleştirmek
- Eski üyeliklerin izin kaynağını doğrulamadan kampanya listesine aktarmak
- Kasayı güncelleyip mobil uygulama ve çağrı merkezini atlamak
- Doğrulama kayıtlarını gereğinden uzun veya amaçsız saklamak
- Tedarikçi erişimlerini ve veri işleyen sözleşmelerini gözden geçirmemek
- Çalışanlara alternatif müşteri akışını anlatmamak
Sık Sorulan Sorular
Son uyum tarihi nedir?
Kurul, 2026/266 sayılı İlke Kararı kapsamındaki uyum süresini 28 Şubat 2027’ye kadar uzattı.
Her sadakat kartı işleminde SMS kodu zorunlu mu?
Karar tek bir yöntem zorunluluğu koymuyor. İşlemin kart sahibinin bilgisi ve rızası dahilinde gerçekleştiğini doğrulayan güvenli bir mekanizma kurulması gerekiyor.
Sadece puan kullanırken doğrulama yeterli mi?
Risk yalnız puan kaybı değildir. Başkasının alışverişinin kart sahibinin hesabına kaydedilmesi de hukuka aykırı veri işleme ve veri doğruluğu riski doğurabilir. Bütün kullanım amaçları değerlendirilmelidir.
Sadakat kartı indirimi açık rızayı zorunlu hale getirir mi?
Somut programın yapısı önemlidir. Programa katılmayan müşteri normal alışverişe devam edebiliyor ve program ek menfaat sağlıyorsa Kurulun 2019/198 sayılı kararındaki değerlendirme dikkate alınabilir; ancak metin, amaç ve veri işleme süreci ayrıca uygun olmalıdır.
Pazarlama izni sadakat üyeliğiyle birlikte alınabilir mi?
Müşteri hangi işleme ne için onay verdiğini açıkça görebilmelidir. Sadakat programının yürütülmesi ile ticari elektronik ileti tercihinin ayrı kayıtlarla yönetilmesi daha güvenli bir uygulamadır.
Resmi Kaynaklar
- KVKK, 2026/266 sayılı İlke Kararı için uyum süresinin 28 Şubat 2027’ye uzatılması: https://www.kvkk.gov.tr/Icerik/8899/sadakat-kart-uyeligi-bulunan-bir-kisinin-cep-telefonu-numarasinin-veya-sadakat-kart-numarasinin-ucuncu-bir-kisi-tarafindan-alisveris-esnasinda-kullanilmasi-hakkinda-ilke-karari-nda-veri-sorumlulari-icin-ongorulen-uyum-suresinin-uzatilmasi-hakkinda-kamuoyu-duyurusu
- KVKK, 2019/198 sayılı sadakat programı kararı: https://www.kvkk.gov.tr/Icerik/7348/2019-198
- KVKK, 2019/82 sayılı market zinciri sadakat kartı kararı: https://www.kvkk.gov.tr/Icerik/5463/-Bir-market-zincirinin-sadakat-kart-uygulamasina-iliskin-ihbar-ve-sikayetler-hakkinda-Kisisel-Verileri-Koruma-Kurulunun-25-03-2019-tarihli-ve-2019-82-sayili-Karari
- Kişisel Verilerin Korunması Kanunu: https://www.mevzuat.gov.tr/mevzuatmetin/1.5.6698.pdf
Bu içerik genel bilgilendirmedir. Sadakat programının hukuki sebebi, doğrulama yöntemi, metinleri, teknik güvenliği ve ticari ileti tercihleri somut sistem akışına göre ayrıca değerlendirilmelidir.
