KVKK uyumlu merch programı
6698 sayılı Kanun ve VERBİS kapsamında çalışan/müşteri merch dağıtımının kişisel veri boyutu.
Neden önemli?
Merch programları yürütülürken çalışan beden bilgisi, ev adresi, ad-soyad, telefon ve bazen fotoğraf gibi kişisel veriler işlenir. KVKK (6698 sayılı Kanun) bu verilerin işlenmesi için hukuki sebep, aydınlatma yükümlülüğü ve bazı durumlarda açık rıza gerektirir. VERBİS kaydı yapmamış firmalar için Kurul idari para cezası 2026 için 68.000-13,6 milyon TRY bandındadır. Tedarikçiye veri aktarılması da "veri işleyen" sıfatıyla ayrı bir sözleşme gerektirir.
Adım adım: KVKK uyumlu süreç
- Veri envanteri çıkarın: hangi veri (ad, beden, adres, telefon, foto), kim için, ne kadar süre saklanacak.
- Hukuki sebep belirleyin: iş sözleşmesi ifası (md. 5/2-c), meşru menfaat (md. 5/2-f) veya açık rıza; hediye dağıtımı genelde sözleşme ifası kapsamında.
- Aydınlatma metni hazırlayın: VERBİS kaydı, saklama süresi, aktarılan taraflar (merch tedarikçisi, kargo firması), veri sahibi hakları (md. 11).
- Açık rıza gerektiği durumlar: ev adresine gönderim, sosyal medyada foto paylaşımı, eş-çocuk bilgisi (aile hediyesi) — ayrı metin + tik kutusu.
- Veri işleyen sözleşmesi: tedarikçiyle KVKK md. 12 uyarınca teknik ve idari tedbir yükümlülüğü; veri ihlali bildirimi 72 saat.
- VERBİS kaydı güncelleme: yeni veri kategorisi varsa (örn. "kurumsal hediye dağıtımı") Sicil\'e eklenir.
- Saklama ve imha: proje bitiminde 6 ay dönem, sonrasında Saklama ve İmha Politikası uyarınca silme/yok etme/anonimleştirme.
Türkiye\'ye özgü tuzaklar
- Yurt dışı tedarikçiye veri aktarma: AB dışı (Çin, Vietnam) üreticiye ad-adres göndermek md. 9 kapsamında yeterli koruma/taahhütname ister — genelde Kurul izni gerekir.
- Excel dosyasıyla liste paylaşımı: şifresiz Excel\'de 200 çalışan adresi paylaşmak md. 12 ihlali; şifreli transfer (SFTP, şifreli ZIP) şart.
- "Hediye çekildi" fotosu: sosyal medyada yüz paylaşımı için ayrı açık rıza; çalışanın reddetme hakkı var.
- Eski çalışan verilerini kullanma: iş sözleşmesi sona erince hukuki sebep düşer; 6 ay sonra imha edilmemiş veri ihlal.
- Beden bilgisi özel nitelik mi?: sağlık verisi değil, ama ayrıntılı vücut ölçüsü (engelli kiti gibi) özel nitelik sayılabilir — açık rıza alın.
TRY maliyet örnekleri
- KVKK danışmanlık + aydınlatma metni paketi: 15.000-45.000 TRY + KDV (küçük proje).
- Veri işleyen sözleşmesi şablonu (tedarikçi için): 5.000-12.000 TRY + KDV.
- VERBİS güncelleme danışmanlığı: 8.000-20.000 TRY + KDV.
- KVKK Kurul ihlal cezası (2026): 68.000-13,6 milyon TRY (tebliğ aşamasında).
- Şifreli dosya transfer platformu yıllık: 3.500-18.000 TRY (ekip boyutuna göre).
Türkiye\'de nasıl uygulanır?
Merch tedarikçisiyle çalışırken KVKK uyumunun sözleşmeye eklenmesi standart uygulamadır. Sözleşmede "Veri İşleyen" sıfatıyla tedarikçinin md. 12 yükümlülükleri, veri ihlali bildirim süresi (24 saat içinde veri sorumlusuna), saklama süresi ve imha prosedürü bulunmalıdır. VERBİS\'e kayıtlı firmalarda "kurumsal hediye dağıtımı" ayrı bir iş amacı olarak sicillenmelidir; aksi halde 2025\'te 15 firmaya kesilen 1,2-4,8 milyon TRY cezalardan ders almak gerekir. İnsan Kaynakları ve Kurumsal İletişim departmanları, merch projesi açarken VERBİS sorumlusuyla 5-10 iş günü buffer planlamalıdır.
Projeniz için destek
KVKK uyumlu merch akışı için brief iletin.