KVKK Sadakat Kart İlke Kararı: 28 Şubat 2027'ye Kadar Kasada OTP, QR ve Opt-in Doğrulama Nasıl Kurulur?

Kısa cevap: KVKK sadakat kart ilke kararı (2026/266), kasada yalnızca telefon ya da kart numarası söylenerek, üyenin bilgisi ve rızası doğrulanmadan sadakat kartı kullanılmasına son veriyor. Uyum süresi, Kurul'un 2026/1491 sayılı kararıyla 28 Şubat 2027'ye uzatıldı. Doğrulama; üyelik oluşturma, puan kazanma, puan harcama ve indirim/promosyon dahil her kullanımı kapsıyor. Kurul'un örnek saydığı yöntemler: SMS ile tek kullanımlık kod, uygulama ya da web sitesindeki barkod/QR, fiziki kart, kasada kart şifresi ve üyenin online hesabından seçtiği "opt-in". Yani telefon numarası kasadan kalkmıyor; kalkan, doğrulamasız kullanım. Asıl iş de, karara göre yaygın olarak doğrulamasız işleyen puan kazanma ve indirim akışında.

Bu rehberi, sadakat programını kendi ya da kısmen özel kasa, CRM ve mobil uygulama altyapısıyla yürüten perakende ve franchise zincirlerinin BT, CRM ve e-ticaret yöneticileri için yazdık; hazır kasa yazılımı kullananlar ise yazıyı tedarikçilerine soracakları soruların listesi olarak kullanabilir. Karar metinlerini Resmî Gazete'den ve KVKK duyurularından okuduk; teknik önerileri OWASP ve IETF gibi birincil kaynaklara dayandırdık. Öneriler mühendislik seçenekleridir; hukuki görüş değildir. "Kasa" ya da "POS" derken mağazadaki satış yazılımını ve ödeme kaydedici cihazı (ÖKC) kastediyoruz; online ödeme için sanal POS rehberimize bakabilirsiniz. Yazı 31 Ekim 2026 itibarıyla günceldir.

KVKK sadakat kart ilke kararı ne diyor? İki karar tek tabloda

Kurul'un incelediği senaryo şu: Üçüncü bir kişi üyenin telefon ya da kart numarasını kasiyere söylüyor, onay kodu girilmeden alışveriş üyenin kartından yapılıyor, fatura vb. belge üyenin adına düzenleniyor ve alışveriş bilgisi onun hesabına işleniyor. Karar gıda, kozmetik, teknoloji, yapı market ve giyimi örnek sektörler olarak sayıyor.

Gerekçenin üç ayağı da yazılım tasarımını ilgilendiriyor:

• Dayanak yok: Numaranın, üyenin bilgisi ve rızası olmadan üçüncü bir kişi tarafından kullanılması Kanun'un 5. maddesindeki hiçbir işleme şartına dayandırılamıyor; bu da hukuka aykırı veri işleme anlamına geliyor.
• Yanlış kayıt da ihlal: Üyenin yapmadığı alışverişi onun adına belgelemek ya da hesabına yazmak, 4. maddedeki "doğru ve gerektiğinde güncel olma" ilkesine aykırı. Sorun yalnızca indirimin kime gittiği değil, profile ve belgeye ne yazıldığı.
• Sözleşme yetmez: Kartı üçüncü kişilere kullandırmama sorumluluğunu üyelik sözleşmesiyle üyeye yüklemek, 12. maddedeki veri güvenliği yükümlülüğünü ortadan kaldırmıyor.

Kurul'un tespitlerine göre üyelik ve puan harcama yaygın olarak zaten SMS kodu ya da uygulama barkodu/QR ile doğrulanıyor; doğrulamasız işleyen akış indirim, promosyon ve puan kazanımı. Yani asıl iş, en sık tekrarlanan bu akışta.

Kararın bıraktığı esneklik: Yöntem listesi "vb." ile bitiyor; hangi mekanizmanın kullanılacağına veri sorumlusu karar veriyor. Telefon numarası yasaklanmıyor; üyenin opt-in verdiği işlemler yalnızca numarayla yapılabiliyor. Karar mağaza kasasını hedefliyor; aynı mantığı çağrı merkezine uygulamak bizim önerimiz, kararda yazan bir yükümlülük değil.

Süre ve yaptırım: 31 Ekim 2026 itibarıyla KVKK'nın duyurularında ve ilke kararları listesinde yeni bir uzatma ya da değişiklik yok; son tarihe 120 gün kaldı. Süre sektörün talebiyle bir kez uzatıldığı için duyuruları izlemeye devam edin. Uymayanlar hakkında Kanun'un 18. maddesi çerçevesinde işlem yapılacak; idari para cezası tutarları Kabahatler Kanunu'nun 17/7 maddesi gereği her yıl yeniden değerleme oranında artırıldığı için burada rakam vermiyoruz.

Kurul hangi 5 doğrulama yöntemini sayıyor, mühendislik bedeli ne?

Yöntemler aynı amaca hizmet ediyor ama kasada, bütçede ve destek ekibinde farklı yükler doğuruyor. Aşağıdaki değerlendirme bizim mühendislik gözlemimiz:

Pratik sonuç: En az iki yöntem sunmak, hem farklı müşteri gruplarını hem de kesinti senaryolarını kapsar.

Her işlemde SMS kodu şart mı? İşlem türüne göre doğrulama matrisi

Hayır. Karar, işlem türüne (üyelik doğrulama, puan/indirim/promosyon kazanma, puan harcama) ve risk oranına göre farklı mekanizmalar seçilebileceğini açıkça söylüyor. Başlangıç önerimiz:

Bu matris bir mühendislik seçeneğidir, hukuki güvence değildir. Risk değerlendirmesi ve yöntem seçimi veri sorumlusunun kararıdır.

Opt-in'i bir istisna olarak değil, doğrulama servisindeki bir kural olarak tasarlayın: Üye bir işlem türüne izin verdiyse servis o işlemi numarayla kabul eder, vermediyse matristeki yönteme döner. Harcama için opt-in'i varsayılan olarak kapalı tutmanızı öneriyoruz.

Referans mimari: kasa, CRM, SMS ve e-Arşiv nasıl konuşmalı?

En önemli tasarım kararı, kuralın nerede uygulanacağı. Kural kasa ekranında olursa her kasa sürümü ve her franchise ayrı bir açık kapı olur. Biz kuralı sadakat/CRM sisteminin yazma API'sine koymayı öneriyoruz: Geçerli bir doğrulama belirteci (token) yoksa puan, kişiye özel indirim ve profil yazımı reddedilir.

1. Kasa (POS yazılımı ve ÖKC): Üyeyi numara, kart ya da QR ile bulur; doğrulama bitene kadar üyenin adını değil, maskelenmiş bilgiyi gösterir.
2. Doğrulama servisi: Sepete bağlı bir oturum açar, opt-in tercihlerini okur, SMS kodu üretir ya da QR'ı, kartı veya şifreyi kontrol eder; başarılıysa kısa ömürlü, tek kullanımlık bir belirteç döner.
3. Sadakat/CRM: Puan, indirim ve alışveriş bilgisini yalnızca bu belirteçle yazar.
4. SMS sağlayıcı: Yalnızca doğrulama servisi üzerinden çağrılır.
5. Mobil uygulama ve web: QR'ı, opt-in tercihlerini ve aydınlatma metnini sunar.
6. Belge akışı: Alıcı bilgisi profilden yalnızca doğrulanmış işlemde doldurulur. GİB'e göre e-Arşiv uygulamasındaki bir satıcı, e-Fatura'ya kayıtlı olmayan alıcılara (vergi mükellefi olmayan tüketiciler dahil) faturayı e-Arşiv Fatura olarak düzenler. ERP'niz alıcı bilgisini profilden otomatik dolduruyorsa bu adımı da doğrulama belirtecine bağlayın.

Sadakat verisi kendi CRM sisteminizde duruyorsa kontrol oraya eklenir; hazır bir platform kullanıyorsanız aynısını tedarikçinizden isteyin. E-belge entegrasyon seçeneklerini ERP ve e-fatura yazımızda karşılaştırmıştık.

Doğrulanamayan işlem: satışı durdurmadan anonim satış

Doğrulama başarısızsa satış durmaz; durması gereken, üyeye ait yazımlardır. Önerdiğimiz kural: Ödeme tamamlanır, kişiye özel indirim ve puan uygulanmaz, profile bir şey yazılmaz, belge üyenin adına düzenlenmez; belge isteyen müşteri bilgilerini kendisi beyan eder. Puanı kaçırmak istemeyen üyeye, fişteki tek kullanımlık kodla puanı sonradan kendi uygulamasından talep etme imkânı verilebilir; böylece yazım üyenin doğrulanmış hesabından gelir. Kasiyerin bu durumda söyleyeceği cümleyi de önceden yazın.

Kasa çevrimdışıysa ne olur?

Bağlantı ya da SMS sağlayıcısı kesilirse en güvenli varsayılan anonim satıştır. OWASP'ın uyardığı gibi yedek mekanizma birincil yöntemden zayıf olmamalı; "şimdilik numarayla geçelim" bu yüzden çözüm değil. Çevrimdışı puan ticari olarak şartsa ve uygulamada zamanla yenilenen (TOTP) kod kullanıyorsanız: Kasa okuttuğu kodu ve okutma zamanını saklar, bağlantı gelince servis kodu o zamana göre doğrular, puan ancak o zaman yazılır. Bu yol, kasa saatinin doğru ve kasiyerce değiştirilemez olmasına dayanır; belge yine üyenin adına düzenlenmez. SMS için ikinci bir sağlayıcıya otomatik geçiş kurun.

SMS kodu ve uygulama QR'ı nasıl sağlamlaştırılır?

SMS metni: 2025/1072 sayılı karara uygun kurgu

KVKK'nın 2025/1072 sayılı ilke kararı SMS doğrulama kodları için şu çerçeveyi çiziyor:

• Görevli, SMS'in amacını ve kodu vermenin sonucunu önce açıkça anlatır; SMS'te de bilgilendirme kanalı bulunur.
• Üyelik onayı, veri işleme izni ve ticari elektronik ileti onayı tek kodla alınmaz; açık rıza gereken her işlem için ayrı seçenek sunulur.
• Ticari ileti izni satışın şartı gibi sunulmaz: Satış tamamlandıktan sonra istenir ya da kodun zorunlu olmadığı, kod verilmese de satışın yapılacağı ve tercihlerin her zaman değiştirilebileceği açıkça yazılır.
• Bu süreçlerdeki personel periyodik olarak eğitilir.

Yani doğrulama kodu tek amaçlı olmalı. Örnek metin: "[MARKA]: [Mağaza] kasasında sadakat kartı kullanımını onaylama kodunuz 482913. 3 dakika geçerlidir. Yalnızca bu işlemi onaylıyorsanız paylaşın. Bilgi: [kısa bağlantı]" Türkçe karakterler mesajın parça sayısını, dolayısıyla maliyetini etkileyebilir; sağlayıcınızla test edin.

Süre, deneme ve maliyet limitleri

OWASP'ın çok faktörlü doğrulama rehberine göre SMS göndermek para tutar ve saldırganlar bütçeyi tüketmek için çok sayıda mesaj isteyebilir; SMS ayrıca SIM değişimi, kilit ekranı önizlemesi ve kötü amaçlı uygulamalara açıktır. Önerdiğimiz kontroller:

• Kod sunucuda üretilir ve doğrulanır; kısa ömürlü ve tek kullanımlıktır, düz metin saklanmaz, loglara düşmez.
• Yanlış deneme sınırı ve yeniden gönderim için bekleme süresi.
• Numara, kasa ve mağaza başına saatlik sınır; bir kasadan art arda farklı numaralara kod istenmesine alarm.
• Günlük SMS bütçesine eşik alarmı; servis web ve uygulamada da kullanılıyorsa bu uç noktalara hız sınırı ve bot koruması.

Operatör başlığı, yedek sağlayıcı ve izin kayıtları çok kanallı mesajlaşma altyapısının işi; doğrulama SMS'ini pazarlama gönderimlerinden ayrı bir akışta tutun.

Uygulama QR'ı: statik barkod mu, TOTP mi?

Karar, uygulama ya da web sitesindeki barkodu/QR'ı sayıyor; statik ve dinamik kod arasında ayrım yapmıyor, "dinamik" olma şartı da koymuyor. Ancak statik barkodun ekran görüntüsü alınıp paylaşılabilir. Bunu kapatmak isteyenler için yerleşik bir standart, RFC 6238'deki zamana dayalı tek kullanımlık şifre (TOTP): Kod, cihazdaki gizli anahtar ve saatle yenilenir; önerilen varsayılan adım 30 saniye. Doğrulama sunucuda yapılır, saat kaymasına sınırlı tolerans tanınır ve aynı kod ikinci kez kabul edilmez. Bedeli, anahtar dağıtımı ve yeniden kurulan uygulamalar için yenileme akışıdır; bunu mobil uygulama tarafında baştan tasarlamak, sonradan yamalamaktan ucuzdur. Müşteriye mağazada QR okutturan bir tasarım seçerseniz KVKK'nın quishing (QR ile oltalama) uyarısını da dikkate alın.

Opt-in ekranı nasıl tasarlanır, telefonu olmayan müşteri ne yapacak?

Opt-in, üyenin online üyelik hesabından verilir: Üye; puan kazanma, indirim/promosyon ve puan harcamadan hangilerinin yalnızca numarayla yapılabileceğini seçer. Ekranı 2026/347 sayılı ilke kararına göre tasarlayın: Aydınlatma ve açık rıza metinleri ayrı başlık ve ayrı beyanla sunulur, aydınlatma için onay değil okundu bilgisi alınır, dil sade olur; işleme açık rıza dışında bir şarta dayanıyorsa yalnızca aydınlatma yapılır. Opt-in'in hukuki niteliğini (sözleşme kapsamında bir tercih mi, açık rıza mı) hukuk ekibinizle netleştirin. Ekran için önerilerimiz:

• Her işlem türü için ayrı anahtar; hepsi varsayılan olarak kapalı.
• Yanında tek cümlelik risk açıklaması: "Açarsanız numaranızı bilen herkes kasada bu işlemi yapabilir."
• Kapatmak açmak kadar kolay; her değişiklik zaman damgasıyla kaydedilir ve üyeye bildirilir.
• Kampanya izni bu ekranda yer almaz.

Farklı müşteri grupları için alternatifler

KVKK; yaş, eğitim düzeyi, ekonomik durum ve teknoloji okuryazarlığı gibi farklar gözetilerek alternatif mekanizmalar sunulabileceğini belirtiyor. Akıllı telefonu olmayan üye için en sade yol fiziki kart, basit telefonla SMS alabilen üye için SMS kodu. Şifre seçilirse üye şifreyi kasiyere söylemez, cihaza kendisi girer. Şifre düz metin olarak değil, tuzlanmış ve yavaş bir özetleme (hash) algoritmasıyla saklanır; kısa şifreler kolay tahmin edildiği için yanlış deneme sayısı da sınırlanır. Yüz ya da parmak izi doğrulamasından uzak durun: Biyometrik veri, Kanun'un 6. maddesine göre özel nitelikli kişisel veridir; işlenmesi yasaktır ve ancak maddede sayılan şartlardan biri varsa mümkündür.

KVKK sadakat kart ilke kararı uyumu: denetim izi ve 120 günlük plan

Minimum denetim izi

KVKK'nın Kişisel Veri Güvenliği Rehberi, tüm kullanıcıların işlem hareketlerinin düzenli olarak kaydedilmesini (log kayıtları gibi) gerekli görüyor; rehberin teknik tedbirler tablosunda yetki matrisi, erişim logları, veri maskeleme ve anahtar yönetimi de yer alıyor. Doğrulama servisi için önerdiğimiz asgari alanlar:

• Zaman; mağaza, kasa, kasiyer ve sepet kimliği
• Üyenin takma kimliği ve maskelenmiş numarası
• İşlem türü, yöntem, sonuç (başarılı, hatalı kod, zaman aşımı, çevrimdışı, anonim satış), deneme sayısı
• Uygulanan opt-in tercihinin sürümü, varsa belge numarası

Kodun kendisi ve tam numara loga yazılmaz; erişimi yetki matrisiyle, saklama süresini imha politikanızla belirleyin.

31 Ekim 2026'dan 28 Şubat 2027'ye adım adım plan

1. 1–15. gün, envanter: Numaranın tek başına işlem açtığı tüm noktaları (mağaza ve franchise kasaları, e-ticaret, çağrı merkezi) listeleyin, matrisi onaylayın, metinleri hukuk ekibiyle başlatın.
2. 16–60. gün, geliştirme: Doğrulama servisi, CRM'de belirteç zorunluluğu, SMS şablonu ve limitler, QR, opt-in ekranı, anonim satış ve loglar.
3. 61–90. gün, pilot mağaza: Yoğun saatte doğrulamanın kasaya eklediği süreyi, SMS teslim süresini ve başarısız doğrulama oranını ölçün; bağlantıyı bilerek kesip çevrimdışı akışı deneyin. Kasiyer eğitimi burada netleşir.
4. 91–120. gün, yayılım: Mağaza grupları hâlinde açın, göstergeleri her gün izleyin, son tarihten önce tampon bırakın.

Tedarikçiler: Kanun'un 12. maddesinin ikinci fıkrasına göre veriler sizin adınıza başkasınca işleniyorsa, güvenlik tedbirlerinden onunla birlikte sorumlusunuz; kasa, CRM, uygulama ve SMS sözleşmelerini gözden geçirin. Hazır yazılım kullanıyorsanız tedarikçinize sorun:

• Hangi doğrulama yöntemlerini ve opt-in tercihini destekliyorsunuz?
• Doğrulama başarısızsa puan, profil ve belge yazımı engelleniyor mu?
• SMS limitleri, bütçe alarmı ve dışa aktarılabilir denetim izi var mı?

Partnerfy bu süreçte nasıl yardımcı olur?

Böyle bir projeye kasanın başında başlarız: Pilot mağazada yoğun saati izleyip numaranın, kartın ve QR'ın bugün hangi sistemlere neyi yazdığını çıkarırız. Ardından doğrulama servisini kasa yazılımından bağımsız bir API katmanı olarak kurar, kuralı sadakat/CRM'deki yazma noktasına bağlarız; böylece farklı kasa sürümleri ve franchise'lar aynı kurala tabi olur. SMS tarafında NetGSM, Verimor ve İletimerkezi gibi yerli sağlayıcılarla limitleri, yedek sağlayıcıyı ve izin kayıtlarını kurar, uygulamada QR ve opt-in ekranlarını geliştiririz. Hukuki metinleri biz yazmayız; avukatınızın onayladığı metinleri ekranlara ve şablonlara doğru yerleştiririz. Kapsamı konuşmak için bizimle iletişime geçin ya da API entegrasyonu yaklaşımımıza göz atın.

Kaynaklar

• Resmî Gazete, 28.02.2026, Sayı 33182: 2026/266 sayılı ilke kararı
• KVKK: Sadakat kart ilke kararı duyurusu
• Resmî Gazete, 13.08.2026, Sayı 33339: 2026/1491 sayılı karar
• KVKK: Uyum süresinin uzatılması duyurusu
• KVKK: 2025/1072 sayılı ilke kararı (SMS doğrulama kodu)
• KVKK: 2026/347 sayılı ilke kararı duyurusu
• KVKK: Duyurular ve İlke Kararları listeleri
• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• 5326 sayılı Kabahatler Kanunu
• KVKK: Kişisel Veri Güvenliği Rehberi (Nisan 2025)
• OWASP: Multifactor Authentication Cheat Sheet
• IETF RFC 6238: TOTP
• GİB: e-Arşiv Fatura hakkında
• KVKK: QR Kodlarla Gelen Risk: Quishing

Sıkça Sorulan Sorular (S.S.S.)