Sadakat kartı KVKK doğrulama zorunluluğu

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi programınızın uyum durumu için hukuk danışmanınıza başvurun. Metindeki kararlar ve madde atıfları son olarak 25 Ağustos 2026 tarihinde birincil kaynaklardan kontrol edildi.

Kasada müşteri telefon numarasını söylüyor, kasiyer numarayı giriyor, puanlar hesaba işleniyor. Türkiye’de sadakat programlarının büyük çoğunluğu yıllardır böyle çalışıyor ve bu akışın bir açığı var: numarayı söyleyen kişinin gerçekten o hesabın sahibi olduğunu kimse kontrol etmiyor.

Kişisel Verileri Koruma Kurulu bu açığı kapattı.

Kural tam olarak ne diyor

Kurul’un 11.02.2026 tarihli ve 2026/266 sayılı ilke kararı (Resmî Gazete, 28.02.2026, sayı 33182), sadakat kartı programı yürüten veri sorumlularına, işlemin gerçekten kart sahibi tarafından yapıldığını teyit eden bir doğrulama mekanizması kurma yükümlülüğü getiriyor.

Buradaki “veri sorumlusu” sizsiniz: müşteri verisini toplayan ve ne amaçla işleneceğine karar veren işletme. Programı bir yazılım firmasından almış olmanız bu sorumluluğu devretmiyor.

Karar belirli bir yöntemi dayatmıyor. Kurul’un ifadesi şu: “veri sorumluları tarafından bu amaca hizmet edecek uygun doğrulama mekanizmalarının oluşturulması gerekmektedir.” Örnek olarak SMS ile tek kullanımlık doğrulama kodu gönderilmesi ile mobil uygulama veya internet sitesi üzerinden sağlanan barkod/QR kod okutma sayılıyor, ama liste “vb.” ifadesiyle açık bırakılmış.

Bu ayrıntı sizin lehinize. Doğrulamayı kendi kasa akışınıza göre kurabilirsiniz, farklı müşteri grupları için farklı yöntem kullanmanızın da önü açık. Kurul’un aradığı, yöntemin adı değil sonucu: doğrulama, o an orada olan kişinin hesabın sahibi olduğunu gösteren bir şeye dayanmalı. Başkasının da bilebileceği bir bilgiye değil.

Kararın hukuki dayanağı tek bir maddeye oturmuyor. Kurul, doğrulamasız uygulamanın 6698 sayılı Kanun’un 5’inci maddesindeki hiçbir veri işleme şartına dayandırılamayacağını, yanlış hesaba işlenen kaydın 4’üncü maddedeki “doğru ve gerektiğinde güncel olma” ilkesine aykırılık oluşturduğunu, ve üyelik sözleşmesinde müşteriye sorumluluk yüklenmiş olmasının 12’nci maddedeki veri güvenliği yükümlülüğünü ortadan kaldırmadığını birlikte gerekçe gösteriyor.

Son tarih: 28 Şubat 2027

İlk uyum süresi Resmî Gazete’de yayımdan itibaren altı ay olarak belirlenmişti, yani 28 Ağustos 2026. 22.07.2026 tarihli ve 2026/1491 sayılı Kurul kararıyla bu süre 28 Şubat 2027’ye uzatıldı (Resmî Gazete, 13.08.2026).

Uzatmanın pratikte iki anlamı var. Birincisi, acil değil. İkincisi ve daha önemlisi: ikinci bir uzatma beklemeyin. Süre zaten bir kez uzatıldı, ve aynı gerekçeyi tekrar öne sürmek zorlaşır.

Sadakat programı KVKK cezası ne kadar

Bu, konuyu araştıran işletme sahiplerinin en çok sorduğu soru, o yüzden dolandırmadan yazalım.

Doğrudan “sadakat programı cezası” diye ayrı bir kalem yok. Risk, KVKK’nın veri güvenliğine ilişkin yükümlülükler (Madde 12) başlığından doğuyor: gerekli teknik ve idari tedbirleri almayan veri sorumluları, Madde 18 kapsamında idari para cezasına muhatap olabiliyor. Doğrulamasız bir sadakat programı, Kurul’un ilke kararından sonra, “gerekli tedbir alınmamış” tarafına düşüyor.

Tutarlar her yıl yeniden değerleme oranıyla güncelleniyor ve güncel alt-üst sınır her yıl ocak ayında Resmî Gazete’de yayımlanıyor. Burada sabit bir rakam vermiyoruz, çünkü bir yıl sonra yanlış olur ve uyum yazısında eski rakam hiç rakam vermemekten kötüdür. Güncel bandı KVKK’nın kendi sitesinden ya da danışmanınızdan teyit edin. Büyüklük mertebesi olarak söylenebilecek şey şu: ceza, doğrulamayı kurmanın maliyetinin çok üzerinde.

Ceza tarafından bağımsız olarak, doğrulamasız bir program zaten iki somut problem üretiyor:

Yanlış kişiye puan. Kasada söylenen numaranın bir hanesi yanlış girildiğinde puan başka birinin hesabına yazılır. Hem hak kaybı, hem de düzeltmesi zaman alan bir şikayet.

Hesap görüntüleme. Numarayı bilen herkes o hesabın harcama geçmişini görebilecek konuma gelir. Küçük bir işletmede teorik durur, üye sayısı arttıkça teorik olmaktan çıkar.

Bu sizi ilgilendiriyor mu

Şu üç sorudan birine “evet” diyorsanız kapsam içindesiniz:

1. Müşteriniz kasada telefon numarası, e-posta veya kart numarası söyleyerek puan kazanıyor ya da harcıyor mu?
2. Bu bilgiyle geçmiş alışverişlerine, bakiyesine veya kişisel bilgilerine ulaşılabiliyor mu?
3. Kasadaki personel bu işlemi başka bir doğrulama olmadan tamamlayabiliyor mu?

Zincir büyüklüğü fark etmiyor. Tek şubeli bir kafe de, 40 şubeli bir perakende zinciri de aynı kural kapsamında.

Mevcut üyelerimizi yeniden doğrulamamız gerekiyor mu

Karar, üyelik kaydını değil alışveriş anındaki işlemi konu alıyor. Metin boyunca geçen ifade “alışveriş esnasında”, ve yükümlülük, işlemin gerçekten kart sahibi tarafından yapıldığının teyit edilmesi. Buradan çıkan okuma şu: mevcut üye tabanınızı geriye dönük yeniden doğrulamanız istenmiyor, 28 Şubat 2027’den sonraki işlemlerin doğrulanması isteniyor.

Pratikte fark büyük. Yapılacak iş bir veri temizliği projesi değil, kasa akışının değişmesi. 60 bin üyeli bir zincirin herkese tek tek ulaşması gerekmiyor; kasada çalışan bir doğrulama adımı kurması gerekiyor. Bu bizim metin okumamız, hukuki görüş değil, ve kendi tabanınız için danışmanınıza doğrulatmanızı öneririz.

Yöntem seçimi ve gerçek maliyeti

Kurul kapalı bir liste vermediği için seçim size ait. Türkiye’de yaygın olarak kullanılan yöntemler teknik olarak birbirine yakın, operasyonel olarak hiç değil. Kasadaki saniyeler ve işlem başına maliyet, kararı belirleyen iki şey:

Yöntem	Kasada süre	İşlem başına maliyet	Uygun olduğu işletme
SMS OTP	10-20 saniye	Her doğrulamada SMS ücreti	Uygulaması olmayan işletmeler
Uygulama onayı	Anlık	Yok	Uygulaması olan zincirler
Dinamik QR	Anlık	Yok	Yoğun kasa trafiği

Fiziksel kart altyapısı zaten kurulu olan programlarda karta ait PIN de kullanılıyor. Kasada hızlı çalışır ve işlem başına ücreti yoktur, ama kart basma ve dağıtma maliyeti sıfırdan kurulacak bir programda bu yöntemi baştan eler.

SMS doğrulama zorunlu mu

Hayır. Karar hiçbir yöntemi zorunlu tutmuyor, “uygun bir doğrulama mekanizması” kurmanızı istiyor. SMS OTP en bilinen yöntem olduğu için zorunlu sanılıyor, oysa kararda örnek olarak geçen iki yöntemden yalnızca biri, ve işlem başına ücreti olan tek yöntem. Uygulama ya da QR tabanlı doğrulama da aynı yükümlülüğü karşılıyor, üstelik kasada daha hızlı.

Burada gözden kaçan kalem SMS. SMS OTP kurulumu en kolay yöntem, ama her doğrulamada bir mesaj gönderilir ve mesaj başına ücretlendirilir. Günde 400 işlem yapan bir zincir için bu, kurulum maliyeti değil, kalıcı bir işletme gideri demektir. Uygulama onayı ve dinamik QR’da işlem başına maliyet yoktur.

Yoğun saatlerde kasa kuyruğu olan bir QSR işletmesinde her işleme 20 saniye eklemek de ayrı bir maliyettir. Bu iki sebep birleştiğinde, yüksek hacimli işletmeler için uygulama veya QR tabanlı doğrulama genellikle daha doğru karardır.

İYS sorusu. 6563 sayılı Kanun ticari elektronik iletiyi ticari amaçla gönderilen ileti olarak tanımlıyor. Doğrulama amaçlı bir OTP bu tanıma girmiyor: işlemsel iletidir, kampanya ve indirim duyurusu değildir. Yani doğrulama için ayrı bir İYS onayı toplamanız beklenmez. Buradaki tek şart, mesajın sadece doğrulamadan ibaret kalması: aynı SMS’e bir kampanya ya da indirim cümlesi eklerseniz mesaj ticari elektronik ileti hâline gelir ve İYS kurallarına tabi olur. Pazarlama mesajlarınız için İYS yükümlülüğünüz elbette devam eder.

Hiçbir şey yapmazsanız

28 Şubat 2027’ye kadar teknik olarak bir şey olmuyor. Ama iki pratik sebep beklemeyi pahalı hale getiriyor.

Birincisi, doğrulama sadece bir ayar değil. Kasa akışının değişmesi, personelin alışması ve müşterinin yeni adımı öğrenmesi gerekiyor. Bu, tarihten bir hafta önce açılabilecek bir düğme değil.

İkincisi, aynı tarihte binlerce işletme aynı işi yapacak. Ocak ve Şubat 2027’de yazılım sağlayıcınızın ve entegratörünüzün sırası uzayacak.

Uyum için pratik yol haritası

1. Mevcut akışınızı yazın. Müşteri kasada hangi bilgiyi veriyor, personel ne yapıyor, sistem neyi doğruluyor. Çoğu işletme bu adımda doğrulamanın hiç olmadığını fark ediyor.

2. Yöntemi işletme gerçeğinize göre seçin. Yukarıdaki tabloya, kendi işlem hacminizle bakın.

3. Personeli bilgilendirin. Doğrulama adımını gereksiz yavaşlatma olarak gören bir kasiyer, onu atlamanın yolunu bulur. Nedeni anlatmak, sürecin kendisi kadar belirleyici.

4. Aydınlatma metninizi gözden geçirin. Doğrulama yeni bir işleme faaliyeti getiriyorsa, aydınlatma metniniz bunu kapsamalı. Örnek olarak kendi KVKK aydınlatma metnimize bakabilirsiniz.

5. Kanıt üretin. Denetimde “doğrulama yapıyoruz” demek yeterli olmayabilir; hangi işlemin nasıl doğrulandığının kayıt altında olması beklenir.

Mevcut sağlayıcınıza soracağınız beş soru

Karar sonuç odaklı olduğu için, “biz uyumluyuz” cümlesi tek başına bir şey ifade etmiyor. Sorulacak sorular şunlar:

1. Kasadaki işlemin, hesabın sahibi tarafından yapıldığı nasıl kanıtlanıyor?
2. Bu doğrulama hangi pakette geliyor, ek ücreti var mı?
3. Doğrulama SMS ile yapılıyorsa mesaj ücretini kim ödüyor, ve aylık faturaya etkisi ne olur?
4. Hangi işlemin nasıl doğrulandığı kayıt altına alınıyor mu, denetimde bu kaydı çıkarabiliyor muyuz?
5. 28 Şubat 2027’ye kadar bunu devreye almak için bizden ne isteniyor, ve sıraya girme süresi ne?

Dördüncü soru en ayırt edici olanı. “Doğrulama yapıyoruz” demek kolaydır; hangi işlemin doğrulandığını gösterebilmek ayrı bir iştir.

Bonobo ile nerede duruyorsunuz

Doğrulama, Lite, Connected ve Connected Pro paketlerinin üçünde de hazır geliyor. Ek modül ya da paket yükseltmesi gerekmiyor.

Kasada ne oluyor. Üye kendi WebApp’inden sürekli yenilenen bir QR kod gösteriyor, personel okutuyor, işlem o üyenin hesabına yazılıyor. Kod sabit değil, yenilendiği için bir ekran görüntüsü başkasının kasada kullanabileceği bir şeye dönüşmüyor. Tanıma anlık, işlem başına ücret yok, ve müşterinin App Store’dan bir şey indirmesi gerekmiyor. Bu akış, Kurul’un kararda örnek olarak saydığı iki yöntemden biriyle birebir örtüşüyor: “internet sitesi üzerinden sağlanan barkod/QR kod okutma”.

İlk ziyaret. Yeni bir müşteri kasada telefon numarasını verip aynı işlemde puan kazanıyorsa, o işlem de kapsamda. Bonobo’da numara önce mevcut üyelere karşı kontrol ediliyor: numara zaten bir hesaba aitse işlem QR akışına yönleniyor, yani başkasının numarasını söyleyerek o hesaba puan yazdırmak mümkün olmuyor. Numara yeniyse ortada taklit edilecek bir hesap da yok.

Alternatif: SMS veya e-posta ile tek kullanımlık kod. Hangisini kullanacağınızı siz seçiyorsunuz. E-posta seçeneği, yukarıdaki tabloda geçen işlem başına SMS ücretini tamamen ortadan kaldırır. QR akışına geçmek istemeyen ya da müşteri tabanı WebApp kullanmayan işletmeler için makul bir başlangıç.

Kayıt tarafı da kapalı. Üye kaydında onayı kısa kod göndererek alabilir, ya da üye WebApp üzerinden kendisi kayıt olup onayını kendisi verebilir. İYS akışları her iki yönde de çalışıyor: bizden İYS’ye ve İYS’den bize. Bunlar doğrulama değil onay tarafı, ama bir denetimde ikisi birlikte sorulur, o yüzden ikisinin de kaydı tutuluyor.

Kanıt. Hangi işlemin hangi yöntemle doğrulandığı kayıt altına alınıyor. Yukarıdaki yol haritasının beşinci maddesi, denetimde “doğrulama yapıyoruz” demenin yetmeyeceğiydi; bu, o maddenin karşılığı.

Bonobo’nun üyelik onayı ve İYS akışlarını kendi hukuk danışmanımız inceledi ve Türkiye’deki onay gerekliliklerini karşıladığını teyit etti. Bu, sizin programınız için verilmiş bir hukuki görüş değil: 2026/266’nın kendi kasa akışınıza etkisini kendi danışmanınıza doğrulatın.

Bugün hiçbir doğrulaması olmayan bir programdan geliyorsanız, iş genellikle sıfırdan geliştirme değil: mevcut akışın gözden geçirilmesi, yöntemin seçilmesi ve personelin yeni adıma alıştırılması. Paketleri ve neyin dahil olduğunu inceleyebilirsiniz.

Programınızın bugünkü durumunu 20 dakikada birlikte gözden geçirelim. Mevcut kasa akışınıza bakıp hangi yöntemin sizin hacminize uyduğunu söyleyelim, taahhüt yok: uyum kontrolü talep edin.

Özet

• Kurul kararı, sadakat programlarında kart sahibinin doğrulanmasını zorunlu kılıyor
• Uyum tarihi 28 Şubat 2027, ve bu tarih zaten bir kez uzatıldı
• Telefon numarası söylemek tek başına doğrulama sayılmıyor
• Karar yöntem dayatmıyor: “uygun bir doğrulama mekanizması” kurmanız yeterli, seçim sizin
• SMS zorunlu değil. Uygulama ve QR tabanlı doğrulama da aynı yükümlülüğü karşılıyor
• Seçim operasyonel: SMS’in işlem başına ücreti var, uygulama ve QR’ın yok
• Mevcut üye tabanını geriye dönük doğrulamak değil, bundan sonraki işlemleri doğrulamak gerekiyor (bizim metin okumamız, hukuki görüş değil)
• Doğrulama amaçlı OTP işlemsel iletidir, ayrı İYS onayı gerektirmez