İade Sürecinde Kişisel Veriler: KVKK Açısından Temel İlkeler

Bir iade talebi, göründüğünden çok daha fazla kişisel veri taşır: müşterinin adı, telefonu, e-posta adresi, teslimat adresi, sipariş geçmişi, bazen ürünün fotoğrafı ve iade nedenini açıklayan serbest bir not. Bu verilerin her biri 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır. Kısa cevap şu: iade için gerçekten gereken veriyi toplayın, yalnızca gerektiği kadar saklayın ve yalnızca ihtiyacı olanların erişmesine izin verin.

Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Mevzuat ve Kişisel Verileri Koruma Kurulu'nun kararları değişebilir; kendi durumunuz için bir hukuk danışmanına başvurun.

İade sürecinde hangi kişisel veriler işlenir?

Önce envanter çıkarmak gerekir. Tipik bir iade akışında karşılaşılan veriler:

• Kimlik ve iletişim: ad soyad, telefon, e-posta.
• Adres: teslimat ve gerektiğinde iade için alım adresi.
• İşlem verisi: sipariş numarası, ürünler, tutarlar, iade nedeni ve sonuç.
• Serbest metin: müşterinin nedeni açıkladığı not; bazen beklenmedik bilgiler içerebilir.
• Görsel: kusur veya hasarı göstermek için yüklenen fotoğraflar.
• İletişim kayıtları: gönderilen mesajlar ve müşterinin yanıtları.

Bu listeyi kendi süreciniz için yazılı hale getirmek, aşağıdaki tüm adımların temelidir. Envanterde her veri için nereden geldiğini (müşteri formu, satış platformu, kargo firması), nerede saklandığını ve kimlerle paylaşıldığını da not edin. Verilerin bir kısmı satış platformundan otomatik olarak aktarılıyorsa, bu aktarımın da aynı ilkelere tabi olduğunu unutmayın. Sürecinize yeni bir alan veya yeni bir tedarikçi eklendiğinde envanteri güncellemeyi bir alışkanlık haline getirin.

Temel ilkeler: KVKK'nın genel çerçevesi

KVKK'nın 4. maddesi, kişisel verilerin işlenmesinde uyulması gereken genel ilkeleri sayar. Bunlar arasında hukuka ve dürüstlük kurallarına uygunluk, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve gerekli süre kadar muhafaza edilme yer alır. Kanunun güncel metnine mevzuat.gov.tr üzerinden, rehber ve kararlara kvkk.gov.tr üzerinden ulaşabilirsiniz.

İade bağlamında bu ilkeler somut sorulara dönüşür:

1. Bu veriyi neden topluyorum?
2. Bu amaç için daha az veriyle yetinebilir miyim?
3. Bu veriyi ne zaman sileceğim veya anonimleştireceğim?
4. Bu veriyi kimler görebiliyor?

Veri minimizasyonu: yalnızca gerekeni toplayın

Bir iade formu, sipariş zaten sistemde kayıtlıysa müşteriden adres veya kimlik bilgisini yeniden istememelidir. Sipariş numarası ve doğrulama için bir iletişim bilgisi çoğu zaman yeterlidir.

Pratik öneriler

• Formdaki her alan için "bu olmadan iade işlenemez mi?" diye sorun.
• Serbest metin alanının amacını belirtin; müşteriyi gereksiz kişisel bilgi yazmaya yönlendirmeyin.
• Telefon numarasını yalnızca müşteriyle o kanaldan iletişim kuracaksanız toplayın.
• Ekip içi raporlarda müşteri adı yerine sipariş veya iade numarasını kullanın.

Fotoğraf yüklemeleri

Kusurlu veya hasarlı ürün iadelerinde fotoğraf istemek bazen gerçekten gereklidir. Ancak fotoğraflar beklenmedik kişisel veriler içerebilir: bir yüz, bir ev içi, bir adres etiketi ya da dosyanın içine kaydedilmiş konum gibi bilgiler.

• Fotoğrafı her vakada rutin olarak değil, yalnızca gerektiğinde isteyin.
• Müşteriye yalnızca ürünü çekmesini, etiket ve kişisel eşyaları kadrajın dışında tutmasını söyleyin.
• Mümkünse yükleme sırasında dosyanın içindeki bu ek bilgileri temizleyin.
• Fotoğrafları herkese açık bağlantılarla değil, erişim kontrollü bir depolamada tutun.
• Vaka kapandıktan sonra gerekli süre dolduğunda fotoğrafları silin.

Saklama süresi ve imha

"Belki ileride lazım olur" gerekçesiyle kişisel veriyi süresiz saklamak, KVKK'nın gerekli süre kadar saklama ilkesiyle bağdaşmaz. Öte yandan vergi, ticaret ve tüketici mevzuatı bazı kayıtların belirli süreler boyunca tutulmasını gerektirebilir.

Bir saklama politikası için adımlar

1. Her veri türü için saklama amacını ve süresini belirleyin.
2. Yasal saklama yükümlülüğü olan kayıtları (örneğin fatura) ayrı ele alın.
3. Süresi dolan veriyi silin, yok edin veya anonim hale getirin.
4. Bu işlemi elle değil, düzenli çalışan bir süreçle yapın ve kaydını tutun.

Analiz için gereken iade istatistikleri (nedenler, ürünler, çözüm türleri) çoğu zaman kişiyle ilişkilendirilmeden de tutulabilir.

Erişim kontrolü ve güvenlik

KVKK'nın 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. İade sürecinde bu şu anlama gelir:

• Rol bazlı erişim: Raporları izleyen bir kişinin müşteri telefonlarını görmesi gerekmez.
• Şifreleme: Müşteri bilgilerini şifreli saklayan ve şifreli bağlantıyla aktaran araçlar seçin.
• Denetim kaydı: Kimin hangi kayda ne zaman eriştiğini veya neyi değiştirdiğini izleyin.
• Tedarikçiler: Kargo, mesajlaşma veya yazılım sağlayıcıları sizin adınıza veri işliyorsa, onlarla yükümlülükleri açıkça belirleyen sözleşmeler yapın.

Aydınlatma ve ilgili kişi hakları

Müşteriler, verilerinin hangi amaçla ve hangi hukuki sebeple işlendiği konusunda bilgilendirilmelidir (KVKK madde 10). İade formunun yakınında kısa ve anlaşılır bir aydınlatma metnine bağlantı vermek iyi bir uygulamadır. Ayrıca kişilerin verilerine ilişkin bilgi talep etme, düzeltme ve silme isteme gibi hakları vardır (madde 11); bu taleplere yanıt verecek bir iç süreç tanımlayın. Bir veri ihlali durumunda Kurul'a ve ilgili kişilere bildirim yükümlülüğü de bulunur; bunun için önceden bir müdahale planı hazırlamak gerekir.

Revoop'ta kişisel veri

Revoop'ta müşterilere ait kişisel veriler şifreli saklanır ve hiçbir zaman açık hâlde tutulmaz. Satıcı panelinde kullanıcılar rollere ayrılır. Sorularınız için sık sorulan sorular sayfasına bakabilirsiniz.

Sonuç

İade süreci küçük bir işlem gibi görünse de birçok kişisel veriye dokunur. Envanterle başlayın, yalnızca gerekeni toplayın, fotoğraflara ayrıca özen gösterin, saklama sürelerini tanımlayın ve erişimi rollere göre sınırlayın. Bu adımlar hem yükümlülüklerinizi yerine getirmenize yardımcı olur hem de müşterinin size duyduğu güveni korur.