İçeriğe geç
Giriş yap Ücretsiz dene

KVKK ve Catering: Personel ve Müşteri Verisi, Sağlık Bilgileri ve Veri İşleme Sözleşmesi

Yaver Arancıoğlu9 dakika okuma

Bir yemek fabrikasının yöneticisine “Veri güvenliği ve KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) sizin için ne ifade ediyor?” diye sorulduğunda, alınan yanıt genellikle benzerdir: “Biz hastane, banka veya e-ticaret sitesi değiliz; biz mercimek çorbası ve orman kebabı üretip fabrikalara gönderiyoruz, bizim kişisel veriyle ne işimiz olabilir?”

Bu yanılgı, toplu yemek sektöründeki en tehlikeli hukuki kör noktalardan biridir. Oysa sabah sevkiyat aracının direksiyonuna geçen şoförün konum verisinden, mutfaktaki aşçının periyodik sağlık taramasına; yemek hizmeti verdiğiniz fabrikadaki şeker hastası mühendisin diyet listesinden, yemekhane girişindeki turnikeye parmak izini okutan işçinin biyometrik verisine kadar endüstriyel mutfak, her gün yüzlerce kişisel veri ve özel nitelikli kişisel veri üretir.

Üstelik gıda güvenliği (HACCP) ve iş sağlığı mevzuatı sizi pek çok şeyi kayıt altına almaya zorlarken, KVKK size “Bu kayıtları neden tutuyorsun, nerede saklıyorsun ve kimlerle paylaşıyorsun?” diye sorar. Catering işletmeciliğinde kurumsal olgunluk, bu iki yasal yükümlülüğü birbirine çarptırmadan yönetebilmekten geçer.

Catering İşletmesi Hangi Durumda “Veri Sorumlusu”, Hangi Durumda “Veri İşleyen”dir?

KVKK karşısında bir yemek fabrikasının hukuki statüsü tek tip değildir; yürüttüğü faaliyete göre iki farklı şapka takar. Bu ayrımı doğru yapmamak, sözleşmelerde ağır tazminat yükümlülüklerinin altına imza atma riskini doğurur:

Mutfaktaki En Büyük Risk: “Özel Nitelikli Kişisel Veriler” (Sağlık ve Biyometri)

KVKK, insanların ad-soyad veya telefon numarası gibi genel verileri ile Özel Nitelikli Kişisel Verilerini (sağlık bilgileri, cinsel hayat, biyometrik veriler, dini inanç, ceza mahkûmiyeti gibi) kalın bir çizgiyle ayırır. Özel nitelikli verilerin işlenmesi Kanun’da sayılan şartlara bağlıdır ve Kurul tarafından belirlenen yeterli önlemlerin alınmasını gerektirir (md. 6); catering sektörü, işinin doğası gereği bu verilerin tam merkezindedir.

Sahada en sık yapılan ve idari para cezası riskini doğuran üç büyük uygulama hatası şunlardır:

1. Mutfak Panolarına Asılan “Alerji ve Diyet Listeleri”

Müşteri firmadan veya okuldan gelen “Personel A - Fıstık Alerjisi / İnsülin Direnci” veya “Personel B - Çölyak (Glutensiz Menü)” bilgisi, açık kimlik bilgisiyle birlikte tutulduğunda doğrudan kişisel sağlık verisidir. Mutfakta diyet yemeklerini hazırlayan ustanın unutmaması için bu listeyi açık kimlik bilgileriyle hazırlık duvarına yapıştırmak veya herkesin girdiği WhatsApp gruplarında paylaşmak, hukuka aykırı işleme ve veri güvenliği ihlali riski doğurur.

2. Yemekhane Turnikelerinde “Parmak İzi ve Yüz Tanıma” Tuzağı

Yerinde üretim (in-house) veya yemekhane işletmeciliği yapılan projelerde, kaç kişinin yemek yediğini (kuver sayısını) kesinleştirmek ve dışarıdan kaçak girişleri önlemek için yemekhane kapılarına parmak izi veya yüz tanıma sistemleri konulması sıkça talep edilir.

Ancak Kişisel Verileri Koruma Kurumu’nun biyometrik veriler rehberi ve Kurul kararları bu konuda yol göstericidir: Aynı amaca daha az müdahaleci bir yolla ulaşılabiliyorsa, biyometrik veri (parmak izi, avuç içi izi, yüz taraması) işlemek gereklilik ve ölçülülük ilkeleriyle bağdaşmaz; Kurul, örneğin bir spor kulübünün giriş-çıkış kontrolü için avuç içi izi almasını bu gerekçeyle ölçüsüz bulmuştur. Bir işçinin öğle yemeği yiyip yemediğini kontrol etmek, manyetik personel kartı, karekod (QR) veya yemek fişi ile mümkünken; ömür boyu değiştirilemeyecek biyometrik verisini almak bu nedenle ciddi bir hukuki risk taşır. Rehber ayrıca, işçi-işveren ilişkisinde rıza göstermemenin işçi açısından olumsuz sonuç doğurabileceği durumlarda rızanın özgür iradeye dayandığının kabul edilemeyeceğini belirtir. Catering firması olarak müşterinize turnike sistemi kurarken biyometrik sistemlerden uzak durmanız, kartlı veya mobil karekodlu geçiş sistemlerini tercih etmeniz önerilir.

3. Kendi Personelinizin Hijyen ve Sağlık Kayıtları

İkinci yazımızda belirttiğimiz üzere, gıda işletmelerinde gıda ile temas eden personelin sağlık durumuna ilişkin belgeler, periyodik muayene sonuçları ve günlük el/yara/enfeksiyon kontrol formları gıda hijyeni ve iş sağlığı mevzuatı ile HACCP planınız gereği tutulması gerekebilir (Gıda Hijyeni Yönetmeliği md. 17, gıda yoluyla bulaşabilen hastalığı olan ya da taşıyıcı personelin gıdayla temasını kısıtlar); hangi belgelerin zorunlu olduğunu iş sağlığı ve güvenliği profesyonelinizle doğrulayın. Ancak bu belgeler, muhasebe klasörlerinde veya mutfak şefinin masasının üzerinde açıkta bırakılamaz. Sağlık verileri, sadece işyeri hekimi ve yetkilendirilmiş İK/kalite sorumlusunun erişebileceği kilitli arşivlerde veya erişimi sınırlı, şifreli yazılım modüllerinde saklanmalıdır.

Dijital Teslimat ve Saha Uygulamalarında KVKK Dengesi

Üçüncü yazımızda, teslimat kanıtı olarak müşteri yetkilisine tek kullanımlık bir Dijital Teslim Kodu (OTP) iletilmesini ve teslim anının kayda alınmasını önermiştik. Peki bu süreç KVKK’ya uygun mudur?

Doğru kurgulandığında uygun hâle getirilebilir. Burada kişinin özel hayatı değil, ticari bir sözleşmenin ifası (teslimatın doğrulanması) söz konusudur; bu tür işleme için Kanun’un 5. maddesindeki şartlardan biri (örneğin sözleşmenin ifasıyla doğrudan ilgili olma ya da veri sorumlusunun meşru menfaati) dayanak olabilir. Hangi şartın sizin durumunuza uyduğunu hukuk danışmanınızla belirleyin. Hukuki zemini sağlam tutmak için:

Kurumsal Müşterilerle İmzalanan “Veri İşleme Sözleşmesi” (DPA) Nedir?

Bugün kurumsal bir fabrikaya, uluslararası bir şirkete, özel okula veya hastaneye yemek teklifi verdiğinizde, ana hizmet sözleşmesinin ekinde karşınıza çoğu zaman 10-15 sayfalık bir “Kişisel Verilerin Korunması ve Veri İşleme Sözleşmesi (Data Processing Agreement - DPA)” çıkacaktır.

İşletme sahipleri genellikle işi kaçırmamak adına bu eki okumadan imzalar. Oysa bu sözleşme, müşterinin kendi veri sorumluluğunu size yıktığı ağır maddeler içerebilir. Bir catering firmasının Veri İşleme Sözleşmesini imzalamadan önce kontrol etmesi gereken 5 temel madde şunlardır:

Sözleşme Maddesi Dikkat Edilmesi Gereken Risk Catering Firmasının Talep Etmesi Gereken Düzenleme
1. İşlenen Verinin Kapsamı Sözleşmede “Müşterinin tüm personel verileri” gibi ucu açık ifadeler yer alması. Sadece hizmetin gerektirdiği verilerle sınırlandırılmalıdır (Örn: Teslim yetkilisi ad-soyad ve iletişim bilgisi, diyet/alerjen yemek alacak personelin kodu veya adı, günlük kuver sayısı).
2. Aydınlatma ve Açık Rıza Yükümlülüğü Müşteri fabrikanın, kendi işçisinden alınması gereken “sağlık/diyet verisi açık rızasını” catering firmasının üzerine yıkması. Müşteri çalışanlarının aydınlatılması ve gerekiyorsa açık rızalarının alınması yükümlülüğünün Müşteri Firmaya (Veri Sorumlusuna) ait olduğu açıkça yazılmalıdır.
3. Alt Veri İşleyen (Bulut ve Yazılım) Kullanımı Sözleşmede “Veriler hiçbir şekilde 3. taraflarla veya bulut sistemleriyle paylaşılamaz” denmesi. Catering firmasının operasyonunu yürütmek için kullandığı catering/ERP yazılımı, e-Fatura entegratörü ve bildirim (e-posta/SMS) sağlayıcısı sözleşmede onaylı “Alt Veri İşleyen” olarak tanımlanmalı; yurt dışına aktarım varsa Kanun’un 9. maddesi ayrıca değerlendirilmelidir.
4. Veri Saklama ve İmha Süresi Sözleşme bittiğinde tüm kayıtların “derhal ve istisnasız” silinmesinin şart koşulması. Kanunen saklanması gereken kayıtların imha kapsamı dışında tutulacağı belirtilmelidir: Vergi Usul Kanunu’na göre defter ve belgeler beş yıl (md. 253), Türk Ticaret Kanunu’na göre ticari defter ve belgeler on yıl (md. 82) saklanır; gıda mevzuatı da HACCP kayıtlarının uygun bir süre saklanmasını ister.
5. Sorumluluk Sınırı ve Rücu Müşteri sisteminden kaynaklanan bir sızıntıda dahi tüm idari para cezasının catering firmasına rücu edilmesi. Sorumluluk, yalnızca catering firmasının kendi kusuru ve kendi sistemlerindeki ihlallerle (kusur oranında) sınırlandırılmalıdır.

VERBİS Kaydı ve İdari Disiplin: Nereden Başlamalı?

Kanun, kişisel veri işleyen gerçek ve tüzel kişilerin Veri Sorumluları Siciline (VERBİS) kaydolmasını öngörür; Kurul ise belirli ölçütlere göre bazı veri sorumlularını bu yükümlülükten istisna tutar (md. 16). Kurul kararlarına göre, ana faaliyeti özel nitelikli kişisel veri işlemek olmayan bir işletme; yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az ise kayıt yükümlülüğünden istisnadır. Bu eşiklerden birine ulaşan ya da aşan işletme VERBİS’e kaydolmak zorundadır. Bir yemek fabrikası; aşçısı, meydancısı, bulaşıkçısı ve şoförüyle 50 çalışan sınırını çok hızlı aşabilen emek yoğun bir işletmedir. Eşikler değişebildiği için güncel durumu Kişisel Verileri Koruma Kurumu’nun duyurularından kontrol edin.

İşletmenizde KVKK uyumunu kâğıt üzerindeki bir angaryadan çıkarıp gerçek bir kurumsal kalkana dönüştürmek için şu dört adımı hızla tamamlayın:

Serinin Sekizinci Yazısı: Mutfaktan Kurumsallığa Bütüncül Bakış

Bu on yazılık serinin en başından beri tek bir temel tezi savunduk: Modern catering işletmeciliği, sadece iyi yemek pişirme zanaatı değil; veriyi, maliyeti, gıda güvenliğini ve hukuki kanıtı yönetme bilimidir.

Birinci yazıda kazana giren etin fire ve verim hesabıyla başladığımız yolculuk; ikinci yazıda o etin HACCP ve soğuk zincir kaydına, üçüncü yazıda müşteri kapısındaki teslim tutanağı ve onay koduna, dördüncü ve beşinci yazılarda stok, satın alma ve menü mühendisliğine, altıncı ve yedinci yazılarda bu yapıyı taşıyacak catering yazılımının seçimine ve nihayet serinin sekizinci yazısı olan bu yazıda tüm bu süreçte oluşan insan ve kurum verisinin hukuki güvenliğine ulaştı. Serinin dokuzuncu yazısı tüm bu disiplinin ihale ve sözleşme teklifine, yani fiyata nasıl yansıdığını; serinin son yazısı olan onuncu yazı ise taşıma yemek ile yerinde üretim modeli arasındaki seçimi ele alıyor.

Mutfakta kepçeyi tutan elin ustalığı ne kadar değerliyse, o kepçenin arkasındaki reçeteyi, sıcaklığı, irsaliyeyi ve veriyi yöneten sistemin sağlamlığı da o kadar değerlidir. Geleceğin toplu yemek sektöründe ayakta kalacak ve büyüyecek olanlar; mutfağındaki lezzeti, kurumsal bir sistemin sarsılmaz kanıtlarıyla birleştirebilen işletmeler olacaktır.

Kişisel verileri CateringOS’ta yönetmek

CateringOS’u kullanan işletme, sisteme girdiği personel ve müşteri verileri için veri sorumlusudur; CateringOS bu veriler için veri işleyen olarak çalışır ve bu ilişki Veri İşleme Sözleşmesi’nde tanımlıdır. Panelde her kullanıcıya pozisyonuna göre yetki verilir; yetkisi olmayan kullanıcı ilgili kaydı yazamaz. Kişisel veri başvuruları için Yönetim Kurulu altındaki KVKK Başvuruları ekranı veri dökümü ve anonim hâle getirme sağlar. Teslim kodu müşterinin kayıtlı e-posta adresine gider; müşteri portalına hesap açmadan, size ait bir erişim koduyla girilir. Yetkiye dayalı erişim, veriye dayalı işletme yönetiminin kişisel veri tarafıdır; mevzuata uyum yükümlülüğü ise işletmenizdedir.

CateringOS’u 30 gün ücretsiz deneyin ya da CateringOS neler yapar, neler yapmaz sayfasına göz atın.

Kaynaklar ve mevzuat çerçevesi

İlgili yazılar

Bu yazı genel bilgilendirme amaçlıdır; hukuki, mali ya da gıda güvenliği danışmanlığı yerine geçmez. Kişisel verilerle ilgili yükümlülüklerinizi güncel mevzuata ve Kurul kararlarına göre hukuk danışmanınızla doğrulayın.

Bu yazı Yaver Arancıoğlu tarafından hazırlanmıştır.
CateringOS bir hcgl.nl ürünüdür.

← Bütün yazılar