Decisione KVKK sulle carte fedeltà: come verificare gli iscritti alla cassa con OTP, QR e opt-in entro il 28 febbraio 2027

In breve: la decisione KVKK sulle carte fedeltà (decisione di principio 2026/266) mette fine alla pratica di usare la carta fedeltà alla cassa comunicando semplicemente al cassiere un numero di telefono o di carta, senza verificare che l'iscritto ne sia a conoscenza e acconsenta. La KVKK è l'autorità turca per la protezione dei dati personali. Il Comitato dell'autorità ha prorogato il termine di adeguamento al 28 febbraio 2027 con la decisione 2026/1491. La verifica riguarda ogni uso della carta: creazione dell'iscrizione, accumulo e utilizzo dei punti, sconti e promozioni compresi. Il Comitato indica come esempi questi metodi: un codice monouso inviato via SMS, un codice a barre o QR nell'app o sul sito web, una carta fisica, il PIN della carta alla cassa e un «opt-in» che l'iscritto seleziona nel proprio account online. Il numero di telefono, quindi, non sparisce dalla cassa: a sparire è l'uso non verificato. Il vero lavoro riguarda l'accumulo dei punti e gli sconti, che, secondo la decisione, si svolgono comunemente senza alcuna verifica.

Questa guida è pensata per i responsabili IT, CRM ed e-commerce di catene retail e in franchising che gestiscono il programma fedeltà su sistemi di cassa, CRM e app mobile propri o in parte su misura. Interessa anche i brand internazionali con punti vendita in Turchia, gestiti direttamente o tramite partner in franchising. Se usa un software di cassa standard, può servirsi di questo articolo come elenco di domande per il suo fornitore. Abbiamo letto le decisioni sulla Resmî Gazete (la Gazzetta Ufficiale turca, dove vengono pubblicate le leggi e le decisioni ufficiali) e negli annunci della KVKK. Per le raccomandazioni tecniche ci siamo basati su fonti primarie come OWASP e IETF. Le nostre raccomandazioni sono opzioni ingegneristiche, non consulenza legale. Con «cassa» o «POS» intendiamo il software di vendita in negozio e il registratore di cassa fiscale (ÖKC) usati nei punti vendita turchi; per i pagamenti online, consulti la nostra guida all'integrazione del POS virtuale. Articolo aggiornato al 31 ottobre 2026.

Che cosa dice la decisione KVKK sulle carte fedeltà? Due decisioni in una tabella

Il Comitato (Kişisel Verileri Koruma Kurulu, l'organo decisionale della KVKK) ha esaminato questo scenario: una terza persona comunica al cassiere il numero di telefono o di carta di un iscritto. L'acquisto viene effettuato sulla carta dell'iscritto senza inserire alcun codice di approvazione. A nome dell'iscritto viene emessa una fattura o un documento analogo e i dati dell'acquisto vengono registrati nel suo account. La decisione cita come settori di esempio alimentari, cosmetica, tecnologia, bricolage e abbigliamento.

Tutti e tre i punti della motivazione del Comitato incidono sulla progettazione del software:

• Nessuna base giuridica: quando una terza persona usa il numero senza che l'iscritto lo sappia e vi acconsenta, nessuna delle condizioni di trattamento dell'articolo 5 della legge n. 6698 può giustificarlo. Si tratta quindi di un trattamento illecito dei dati.
• Anche una registrazione errata è una violazione: emettere un documento a nome dell'iscritto per un acquisto che non ha fatto, o scrivere quell'acquisto nel suo account, viola il principio dell'articolo 4 secondo cui i dati devono essere «esatti e, se necessario, aggiornati». La questione non è solo chi ottiene lo sconto, ma anche che cosa viene scritto nel profilo e nel documento.
• Un contratto non basta: usare il contratto di iscrizione per rendere l'iscritto responsabile di non far usare la carta a terzi non elimina l'obbligo di sicurezza dei dati previsto dall'articolo 12.

Secondo gli accertamenti del Comitato, l'iscrizione e l'utilizzo dei punti vengono già comunemente verificati con un codice SMS o con un codice a barre/QR dell'app. A svolgersi senza verifica è il flusso di sconti, promozioni e accumulo punti. Il vero lavoro riguarda quindi questo flusso, che è anche quello che si ripete più spesso.

La flessibilità lasciata dalla decisione: l'elenco dei metodi si chiude con «ecc.» e la scelta del meccanismo spetta al titolare del trattamento. I numeri di telefono non sono vietati: le operazioni per cui l'iscritto ha dato l'opt-in si possono svolgere con il solo numero. La decisione riguarda la cassa in negozio. Applicare la stessa logica al call center è una nostra raccomandazione, non un obbligo scritto nella decisione.

Termine e sanzioni: al 31 ottobre 2026, negli annunci e nell'elenco delle decisioni di principio della KVKK non risultano nuove proroghe o modifiche e mancano 120 giorni alla scadenza. Il termine è già stato prorogato una volta su richiesta del settore, quindi continui a seguire gli annunci. Chi non si adegua andrà incontro a provvedimenti ai sensi dell'articolo 18 della legge n. 6698. Non indichiamo qui gli importi delle sanzioni perché, in base all'articolo 17, comma 7, della legge sugli illeciti amministrativi (Kabahatler Kanunu), le sanzioni amministrative pecuniarie vengono aumentate ogni anno del tasso di rivalutazione.

Quali 5 metodi di verifica indica il Comitato e qual è il loro costo tecnico?

I metodi hanno lo stesso scopo, ma pesano in modo diverso sulla cassa, sul budget e sul team di supporto. La valutazione qui sotto è la nostra visione ingegneristica:

L'indicazione pratica: offrire almeno due metodi copre sia i diversi gruppi di clienti sia gli scenari di interruzione.

Serve un codice SMS per ogni operazione? Una matrice di verifica per tipo di operazione

No. La decisione afferma esplicitamente che si possono scegliere meccanismi diversi in base al tipo di operazione (verifica dell'iscrizione, accumulo punti/sconti/promozioni, utilizzo dei punti) e al livello di rischio. Il punto di partenza che suggeriamo:

Questa matrice è un'opzione ingegneristica, non una garanzia legale. La valutazione del rischio e la scelta del metodo spettano al titolare del trattamento.

Progetti l'opt-in come una regola del servizio di verifica, non come un'eccezione. Se l'iscritto ha autorizzato un tipo di operazione, il servizio accetta quell'operazione con il numero. In caso contrario, ricorre al metodo indicato nella matrice. Consigliamo di lasciare disattivato per impostazione predefinita l'opt-in per l'utilizzo dei punti.

Architettura di riferimento: come devono lavorare insieme cassa, CRM, SMS e fatturazione e-Arşiv?

La decisione di progettazione più importante è dove far applicare la regola. Se la regola si trova nella schermata di cassa, ogni versione della cassa e ogni punto in franchising diventa un punto debole a sé. Consigliamo di collocarla nell'API di scrittura del sistema fedeltà/CRM: senza un token di verifica valido, le scritture di punti, sconti personali e dati del profilo vengono respinte.

1. Cassa (software POS e ÖKC): trova l'iscritto tramite numero, carta o QR. Finché la verifica non è completata, mostra dati mascherati, non il nome dell'iscritto.
2. Servizio di verifica: apre una sessione legata al carrello, legge le preferenze di opt-in e genera un codice SMS oppure controlla il QR, la carta o il PIN. In caso di esito positivo, restituisce un token di breve durata e monouso.
3. Fedeltà/CRM: scrive punti, sconti e dati di acquisto solo con questo token.
4. Provider SMS: viene chiamato solo tramite il servizio di verifica.
5. App mobile e web: mostrano il QR, le preferenze di opt-in e l'informativa.
6. Flusso documentale: i dati dell'acquirente vengono compilati dal profilo solo per un'operazione verificata. Secondo GİB, l'amministrazione fiscale turca, il venditore che utilizza il sistema e-Arşiv emette una e-Arşiv Fatura (fattura elettronica di archivio) verso gli acquirenti non registrati a e-Fatura, il sistema turco di fatturazione elettronica. Sono compresi i consumatori che non sono soggetti passivi d'imposta. Se il suo ERP compila automaticamente i dati dell'acquirente dal profilo, colleghi anche questo passaggio al token di verifica.

Se i dati fedeltà si trovano nel suo sistema CRM, il controllo va aggiunto lì. Se usa una piattaforma standard, chieda la stessa cosa al suo fornitore. Abbiamo confrontato le opzioni di integrazione dei documenti elettronici nel nostro articolo sull'integrazione tra ERP e fatturazione elettronica.

Quando la verifica non riesce: concludere la vendita in forma anonima invece di bloccarla

Se la verifica non riesce, la vendita non si ferma: a fermarsi deve essere ogni scrittura che riguarda l'iscritto. La regola che consigliamo: il pagamento si conclude, non si applicano sconti personali né punti, nel profilo non viene scritto nulla e non viene emesso alcun documento a nome dell'iscritto. Il cliente che desidera un documento fornisce i propri dati. All'iscritto che non vuole perdere i punti si può dare la possibilità di richiederli in seguito nella propria app, con un codice monouso riportato sullo scontrino. In questo modo la scrittura parte dall'account verificato dell'iscritto. Prepari inoltre in anticipo un copione con ciò che il cassiere dovrà dire in questa situazione.

Che cosa succede se la cassa è offline?

Se cade la connessione o il provider SMS, l'impostazione predefinita più sicura è la vendita anonima. Come avverte OWASP, un meccanismo di riserva non deve essere più debole del metodo principale. Ecco perché «per ora usiamo solo il numero» non è una soluzione. Supponiamo che i punti offline siano un requisito commerciale e che la sua app usi un codice a rotazione basato sul tempo (TOTP). In questo caso la cassa memorizza il codice scansionato e l'ora della scansione. Al ritorno della connessione, il servizio verifica il codice rispetto a quell'ora e solo allora i punti vengono accreditati. Questo approccio presuppone che l'orologio della cassa sia preciso e che il cassiere non possa modificarlo. Anche in questo caso non viene emesso alcun documento a nome dell'iscritto. Per gli SMS, configuri il failover automatico su un secondo provider.

Come rafforzare i codici SMS e i QR dell'app?

Il testo dell'SMS: come strutturarlo in linea con la decisione 2025/1072

La decisione di principio 2025/1072 della KVKK fissa questo quadro per i codici di verifica via SMS:

• Il personale spiega prima chiaramente a che cosa serve l'SMS e che cosa significa fornire il codice. L'SMS include anche un canale per ulteriori informazioni.
• L'approvazione dell'iscrizione, l'autorizzazione al trattamento dei dati e il consenso alle comunicazioni commerciali elettroniche (il termine giuridico turco per i messaggi di marketing) non vengono raccolti con un unico codice. Per ogni attività di trattamento che richiede il consenso esplicito viene offerta un'opzione separata.
• Il consenso alle comunicazioni commerciali non viene presentato come condizione della vendita. Viene richiesto a vendita conclusa, oppure il messaggio indica chiaramente che il codice è facoltativo, che la vendita avverrà anche senza il codice e che le preferenze si possono modificare in qualsiasi momento.
• Il personale coinvolto in questi processi riceve una formazione regolare.

In altre parole, il codice di verifica deve avere un unico scopo. Testo di esempio (tradotto dal turco): «[BRAND]: il codice per approvare l'uso della sua carta fedeltà alla cassa di [Punto vendita] è 482913. Valido per 3 minuti. Lo comunichi solo se approva questa operazione. Info: [link breve]». I caratteri turchi possono modificare il numero di segmenti del messaggio, e quindi il costo: faccia una prova con il suo provider.

Limiti di scadenza, tentativi e costi

Secondo la guida di OWASP sull'autenticazione a più fattori, l'invio di SMS ha un costo e gli aggressori possono richiedere grandi quantità di messaggi per prosciugare il budget. L'SMS è inoltre esposto a SIM swap, anteprime sulla schermata di blocco e app malevole. I controlli che consigliamo:

• Il codice viene generato e verificato sul server. Ha breve durata ed è monouso, non viene mai conservato in chiaro e non compare mai nei log.
• Un limite ai tentativi errati e un tempo di attesa prima di poter inviare di nuovo un codice.
• Limiti orari per numero, per cassa e per punto vendita, più un avviso quando una cassa richiede codici per numeri diversi uno dopo l'altro.
• Un avviso a soglia sul budget SMS giornaliero. Se il servizio è usato anche sul web e nell'app, rate limiting e protezione dai bot su quegli endpoint.

Sender ID, provider di riserva e registri dei consensi sono compito della sua infrastruttura di messaggistica multicanale. Tenga gli SMS di verifica in un flusso separato dagli invii di marketing.

QR dell'app: codice a barre statico o TOTP?

La decisione cita un codice a barre o QR nell'app o sul sito web. Non distingue tra codici statici e dinamici e non richiede che il codice sia «dinamico». Tuttavia, un codice a barre statico si può catturare in uno screenshot e condividere. Se vuole chiudere questa falla, esiste uno standard consolidato: la password monouso basata sul tempo (TOTP) della RFC 6238. Il codice viene rinnovato usando una chiave segreta sul dispositivo e l'orologio; l'intervallo predefinito raccomandato è di 30 secondi. La verifica avviene sul server, è ammessa una tolleranza limitata per lo scostamento dell'orologio e lo stesso codice non viene mai accettato due volte. Il costo è la distribuzione delle chiavi e un flusso di rinnovo per le app reinstallate. Progettare tutto questo nell'app mobile fin dall'inizio costa meno che aggiungerlo in seguito. Se sceglie una soluzione in cui i clienti scansionano un QR in negozio, tenga conto anche dell'avvertimento della KVKK sul quishing (phishing tramite codici QR).

Come progettare la schermata di opt-in e come gestire i clienti senza telefono?

L'iscritto dà l'opt-in nel proprio account online. Lì sceglie quali operazioni, tra accumulo punti, sconti/promozioni e utilizzo dei punti, si possono svolgere con il solo numero. Progetti la schermata in linea con la decisione di principio 2026/347. L'informativa (aydınlatma metni) e il testo del consenso esplicito (açık rıza) vengono presentati sotto intestazioni separate, con dichiarazioni separate. Per l'informativa si chiede all'iscritto di confermare di averla letta, non di approvarla. Il linguaggio è semplice. Se il trattamento si basa su una base giuridica diversa dal consenso esplicito, si fornisce solo l'informativa. Chiarisca con il suo team legale la natura giuridica dell'opt-in: è una preferenza prevista dal contratto o un consenso esplicito? Le nostre raccomandazioni per la schermata:

• Un interruttore separato per ogni tipo di operazione, tutti disattivati per impostazione predefinita.
• Una nota di rischio di una frase accanto a ogni interruttore: «Se attiva questa opzione, chiunque conosca il suo numero può eseguire questa operazione alla cassa».
• Disattivare un interruttore è facile quanto attivarlo. Ogni modifica viene registrata con data e ora e l'iscritto riceve una notifica.
• Il consenso al marketing non compare in questa schermata.

Alternative per i diversi gruppi di clienti

La KVKK afferma che si possono offrire meccanismi alternativi per tenere conto di differenze come età, livello di istruzione, situazione economica e alfabetizzazione tecnologica. Per un iscritto senza smartphone, la via più semplice è una carta fisica. Per un iscritto con un telefono di base in grado di ricevere SMS, è un codice SMS. Se sceglie il PIN, l'iscritto non lo comunica al cassiere, ma lo inserisce personalmente sul dispositivo. Il PIN non viene conservato in chiaro: viene salvato con un algoritmo di hashing lento con salt. I PIN brevi sono facili da indovinare, quindi va limitato anche il numero di tentativi errati. Eviti la verifica tramite volto o impronta digitale: ai sensi dell'articolo 6 della legge n. 6698, i dati biometrici rientrano nelle categorie particolari di dati personali. Il loro trattamento è vietato ed è possibile solo se ricorre una delle condizioni elencate in quell'articolo.

Adeguarsi alla decisione KVKK sulle carte fedeltà: audit trail e piano di 120 giorni

Un audit trail minimo

La Guida alla sicurezza dei dati personali della KVKK ritiene necessario registrare regolarmente l'attività di tutti gli utenti (ad esempio sotto forma di log). La tabella delle misure tecniche della guida comprende anche una matrice delle autorizzazioni, i log di accesso, il mascheramento dei dati e la gestione delle chiavi. I campi minimi che consigliamo per il servizio di verifica:

• Data e ora; ID di punto vendita, cassa, cassiere e carrello
• ID pseudonimo e numero mascherato dell'iscritto
• Tipo di operazione, metodo, esito (riuscita, codice errato, timeout, offline, vendita anonima), numero di tentativi
• Versione della preferenza di opt-in applicata; eventuale numero del documento

Il codice stesso e il numero completo non vengono mai scritti nel log. Definisca gli accessi tramite la sua matrice delle autorizzazioni e il periodo di conservazione tramite la sua policy di distruzione dei dati.

Un piano passo dopo passo dal 31 ottobre 2026 al 28 febbraio 2027

1. Giorni 1–15, inventario: elenchi ogni punto in cui il solo numero apre un'operazione (casse dei negozi e dei punti in franchising, e-commerce, call center). Approvi la matrice e avvii il lavoro sui testi legali con il suo team legale.
2. Giorni 16–60, sviluppo: il servizio di verifica, i token obbligatori nel CRM, il modello e i limiti SMS, il QR, la schermata di opt-in, le vendite anonime e i log.
3. Giorni 61–90, punto vendita pilota: nelle ore di punta, misuri il tempo che la verifica aggiunge alla cassa, il tempo di consegna degli SMS e il tasso di verifiche non riuscite. Interrompa volutamente la connessione per testare il flusso offline. In questa fase si conclude la formazione dei cassieri.
4. Giorni 91–120, distribuzione: distribuisca per gruppi di punti vendita, monitori gli indicatori ogni giorno e lasci un margine prima della scadenza.

Fornitori: ai sensi dell'articolo 12, comma 2, della legge n. 6698, se un altro soggetto tratta i dati per suo conto, Lei risponde delle misure di sicurezza insieme a quel soggetto. Verifichi i contratti relativi a cassa, CRM, app e SMS. Se usa un software standard, chieda al suo fornitore:

• Quali metodi di verifica sono supportati? La preferenza di opt-in è supportata?
• Se la verifica non riesce, le scritture su punti, profilo e documenti vengono bloccate?
• Sono previsti limiti SMS, un avviso sul budget e un audit trail esportabile?

Come La aiuta Partnerfy

Un progetto di questo tipo lo iniziamo dalla cassa. In un punto vendita pilota osserviamo l'ora di punta e mappiamo che cosa scrivono oggi il numero, la carta e il QR e in quali sistemi. Realizziamo poi il servizio di verifica come livello API indipendente dal software di cassa e leghiamo la regola al punto di scrittura del sistema fedeltà/CRM. In questo modo versioni di cassa diverse e punti in franchising seguono tutti la stessa regola. Per gli SMS, configuriamo limiti, provider di riserva e registri dei consensi con provider turchi come NetGSM, Verimor e İletimerkezi, e realizziamo nell'app le schermate QR e di opt-in. Non scriviamo i testi legali: inseriamo correttamente nelle schermate e nei modelli i testi approvati dal suo legale. Per parlare dell'ambito del progetto, ci contatti o scopra il nostro approccio all'integrazione API.

Fonti

• Resmî Gazete, 28 febbraio 2026, n. 33182: decisione di principio 2026/266 (in turco)
• KVKK: annuncio della decisione di principio sulle carte fedeltà (in turco)
• Resmî Gazete, 13 agosto 2026, n. 33339: decisione 2026/1491 (in turco)
• KVKK: annuncio sulla proroga del termine di adeguamento (in turco)
• KVKK: decisione di principio 2025/1072 sui codici di verifica via SMS (in turco)
• KVKK: annuncio della decisione di principio 2026/347 (in turco)
• KVKK: elenchi degli annunci e delle decisioni di principio (in turco)
• Legge n. 6698 sulla protezione dei dati personali (in turco)
• Legge n. 5326 sugli illeciti amministrativi (in turco)
• KVKK: Guida alla sicurezza dei dati personali, aprile 2025 (in turco)
• OWASP: Multifactor Authentication Cheat Sheet
• IETF RFC 6238: TOTP
• GİB (amministrazione fiscale turca): informazioni sulla e-Arşiv Fatura (in turco)
• KVKK: il rischio che arriva con i codici QR: quishing (in turco)

Domande frequenti