KVKK: stüdyo ve klinik sahibinin gerçekten yapması gerekenler

Üye adı, telefonu ve ders geçmişini tutan her stüdyo KVKK anlamında veri sorumlusudur. Fizyoterapi kliniğiyseniz işlediğiniz veri ayrıca özel niteliklidir ve kuralları daha ağırdır. Bu rehber, mevzuatı kopyalamak yerine pratikte hangi belgeyi hazırlayacağınızı ve hangi alışkanlığı değiştireceğinizi anlatıyor.

2 Eylül 2026 · 9 dakika okuma

⚖️ Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Kendi kurumunuzun durumunu ve özellikle VERBİS yükümlülüğünüzü bir hukukçuyla teyit edin; mevzuat ve Kurul kararları değişebilir.

Önce şunu netleştirelim: veri sorumlusu sizsiniz

KVKK'nın en çok yanlış anlaşılan yeri burası. Bir yazılım kullanıyor olmanız sorumluluğu o yazılıma devretmez. Üyenin verisini hangi amaçla topladığına, ne kadar süre saklayacağına ve kimlerle paylaşacağına karar veren siz olduğunuz için kanunun tanımıyla veri sorumlusu sizsiniz. Kullandığınız yazılım ise sizin talimatınızla veriyi işleyen taraftır, yani veri işleyen.

Bunun iki pratik sonucu var:

• Üyeye karşı muhatap sizsiniz. Bir üye "verilerimi silin" dediğinde yazılım şirketine değil, size başvurur ve cevap verme yükümlülüğü sizdedir.
• Kullandığınız yazılımla aranızda yazılı bir veri işleme sözleşmesi (DPA) olmalıdır. Sözleşme yoksa, veriyi kimin hangi sınırlar içinde işlediği yazılı değil demektir.

Pratik kontrol: kullandığınız yazılımın size imzalattığı bir veri işleme sözleşmesi var mı? Yoksa isteyin. Vermiyorsa bu, tek başına bir bilgi verir.

Aydınlatma yükümlülüğü: herkesin atladığı ilk adım

Kanun, kişisel veriyi toplarken kişiyi bilgilendirmenizi şart koşar. Yani üyeyi kaydettiğiniz an, ona şunları söylemiş olmanız gerekir: verisini kim topluyor (kurumunuzun tam unvanı), hangi amaçla, kimlere aktarılabilir, hangi yöntemle ve hangi hukuki sebeple toplanıyor, kanundan doğan hakları neler.

Metnin kendisi sıradan bir belgedir; asıl mesele ne zaman gösterildiğidir. Kayıt formunun altına konmuş, kimsenin okumadığı ve hiçbir yerde saklanmayan bir metin, yükümlülüğü karşılamaz.

Pratikte ne yapmalı

• Aydınlatma metnini kurumunuzun ticari unvanı ve iletişim bilgileriyle hazırlayın; "stüdyomuz" gibi genel ifadeler yetmez.
• Metni sürümleyin. Metin bir yıl sonra değişirse, geçen yıl kaydolan üyenin hangi metne onay verdiği belli olmalıdır. Bu, bir ihtilafta elinizdeki tek kanıttır.
• Kaydı tarihiyle tutun: kim, ne zaman, hangi metne.

Açık rıza ile aydınlatmayı birbirine karıştırmayın

Bu ikisi aynı kutucuk olamaz ve pratikte en sık yapılan hata budur.

• Aydınlatma bir bilgilendirmedir; onay değildir ve üyenin kabul etmesi gerekmez. Siz bilgilendirmekle yükümlüsünüz.
• Açık rıza ise belirli bir konuya, bilgilendirilerek ve özgür iradeyle verilen onaydır. Hizmetin ön koşulu hâline getirilemez: "rıza vermezsen üye olamazsın" dediğiniz anda o rıza özgür iradeyle verilmemiş sayılır.

Üyelik sözleşmesinin ifası için gereken veriyi (ad, telefon, ders kaydı) işlemek için genellikle açık rızaya ihtiyacınız yoktur; sözleşmenin ifası bir hukuki sebeptir. Açık rıza asıl olarak pazarlama ve sağlık verisi gibi alanlarda devreye girer.

Kural: her amaç için ayrı kutucuk. Aydınlatmayı okuduğunu beyan etmek başka, kampanya mesajı almayı kabul etmek başkadır. Tek kutucukta birleştirilen bir onay, ikisi için de geçersiz sayılabilir.

Sağlık verisi: fizyoterapi kliniklerinin ayrı sorumluluğu

Sağlık verisi kanunda özel nitelikli kişisel veri olarak sayılır ve bu kategorinin kuralları daha ağırdır. Bir sakatlık geçmişi, bir ağrı şikâyeti, bir tedavi planı ya da bir PAR-Q formunun cevapları buraya girer. Dikkat edin: bunu yalnız klinikler işlemez: "belinizde rahatsızlık var mı?" diye soran bir pilates stüdyosu da o andan itibaren sağlık verisi işliyordur.

Üç somut kural

• Erişimi daraltın. Resepsiyondaki herkesin bir danışanın tedavi geçmişini görebildiği bir kurulum, "gerektiği kadar veri, gerektiği kişiye" ilkesiyle bağdaşmaz. Klinik kayıtlar ayrı bir yetkiyle korunmalıdır.
• Kanalı ayırın. Sağlık verisi WhatsApp grubuna, ortak bir Excel dosyasına ya da bir yapay zeka asistanının bağlamına girmemelidir. Bir seans notunun mesajlaşma uygulamasına düşmesi, teknik değil kurgusal bir hatadır: veri oraya girebiliyorsa er ya da geç girer.
• Ayrı rıza alın. Üyelik için alınan rıza, sağlık verisinin işlenmesini kapsamaz.

Saklama süresi ve imha: "her ihtimale karşı duruyor" bir gerekçe değil

Kanun, amacı ortadan kalkan veriyi silmenizi, yok etmenizi veya anonim hâle getirmenizi ister. Yani "bir gün lazım olur" diyerek 2019'da ayrılmış bir üyenin telefon numarasını 2026'da tutmak bir tercih değil, bir ihlaldir.

Pratikte yapılması gereken şu: her veri kategorisine bir saklama süresi yazın ve süresi dolanı gerçekten imha edin.

Veri	Tipik gerekçe	Ne zaman gitmeli
Üye iletişim bilgisi	Sözleşmenin ifası	Üyelik bittikten sonra makul bir süre
Ders ve rezervasyon geçmişi	İşletme kaydı, ihtilaf	Kurum politikanızda yazılı süre sonunda
Muhasebe/fatura kaydı	Vergi mevzuatı	Mevzuatın öngördüğü asgari süre dolduğunda
Pazarlama izni ve kaydı	Açık rıza	İzin geri çekildiğinde derhal
Sağlık/klinik kaydı	Sağlık hizmeti	İlgili sağlık mevzuatının süresi dolduğunda

Yukarıdaki süreler örnek değil yapı gösterir; gerçek süreleri kendi faaliyetinize göre bir hukukçuyla belirleyin. Önemli olan, her satırın bir cevabının olmasıdır.

Sık yapılan hata: ölçütün kayıt tarihi alınması. Doğru ölçüt son harekettir; dört yıldır aktif olarak gelen bir üyenin verisi "kaydı dört yıllık" diye silinmemelidir.

VERBİS kaydı: sizi bağlıyor mu?

VERBİS, Kurum'un tuttuğu veri sorumluları sicilidir ve kayıt yükümlülüğü herkes için geçmez. Yükümlülük, çalışan sayısı ve mali büyüklük gibi eşiklere ve faaliyetin niteliğine bağlıdır. Küçük bir stüdyo çoğu zaman eşiklerin altında kalır; ancak ana faaliyeti gereği özel nitelikli veri işleyen kurumlar için durum farklıdır ve bir fizyoterapi kliniği bu tanıma girebilir.

Bu yüzden burada net bir "evet/hayır" vermiyoruz, çünkü vermek yanıltıcı olurdu. Yapmanız gereken, kurumunuzun çalışan sayısını, mali büyüklüğünü ve işlediği veri türlerini yazıp güncel eşiklerle karşılaştırmak ve teyit ettirmektir.

⭐ Şunu bilin: VERBİS yükümlülüğünüz olmaması, KVKK yükümlülüğünüz olmadığı anlamına gelmez. Aydınlatma, rıza, veri güvenliği ve imha yükümlülükleri sicile kayıtlı olsanız da olmasanız da geçerlidir. Bu ikisinin karıştırılması, sahada en sık gördüğümüz yanlış güven kaynağıdır.

Veri güvenliği: teknik değil, alışkanlık meselesi

Kanun "uygun güvenlik düzeyini sağlamak" der ve bunu bir yazılıma havale etmez. Bir stüdyoda ihlallerin çoğu bir siber saldırıdan değil, gündelik alışkanlıklardan doğar:

• Tüm ekibin aynı hesabı ve aynı şifreyi kullanması: bir işlemi kimin yaptığı belli olmaz.
• Üye listesinin bir Excel dosyası olarak WhatsApp'tan gönderilmesi; o dosya artık kimin telefonunda, bilinmez.
• İşten ayrılan eğitmenin erişiminin kapatılmaması.
• Üye telefonlarının kişisel telefon rehberinde birikmesi.

Bugün yapabileceğiniz beş şey

1. Herkese kendi hesabını açın; ortak hesabı kapatın.
2. Rolleri ayırın: eğitmenin fiyat ve tahsilat bilgisini görmesi gerekmiyor olabilir.
3. Ayrılan çalışanın erişimini ayrıldığı gün kapatın.
4. Üye listesini dosya olarak dolaştırmayı bırakın.
5. Bir ihlal olursa ne yapacağınızı önceden yazın. İhlalin Kurum'a ve ilgili kişiye bildirilmesi gereken durumlar vardır ve süre kısadır.

Üye hakkını kullanmak isterse ne olur?

Üyenin kanundan doğan hakları var: verisinin işlenip işlenmediğini öğrenmek, bilgi talep etmek, düzeltilmesini veya silinmesini istemek, aktarıldığı üçüncü kişileri öğrenmek, işlemenin sonucuna itiraz etmek. Başvuru size yapılır ve cevap verme süresi kısadır.

Hazırlıklı olmak için

• Başvuru için bir kanal belirleyin (bir e-posta adresi yeterlidir) ve aydınlatma metninde yazın.
• Başvuruları kayıt altına alın: kim, ne zaman, ne istedi, ne cevap verildi.
• Kimliği doğrulayın. WhatsApp'tan gelen bir mesajın gerçekten o kişiden geldiğini varsaymak, veriyi yanlış kişiye vermenin en kolay yoludur.
• Silme talebini otomatik uygulamayın: bazı verileri (örneğin muhasebe kayıtlarını) mevzuat gereği tutmak zorunda olabilirsiniz. Doğru cevap "sildim" değil, neyin silindiğini ve neyin neden tutulduğunu açıklamaktır.

Kontrol listesi

• Kurumun ticari unvanıyla hazırlanmış, sürümlenmiş bir aydınlatma metni var.
• Aydınlatma onayı ile pazarlama izni ayrı kutucuklarda.
• Her üyenin hangi metne, ne zaman onay verdiği kayıtlı.
• Sağlık verisi ayrı yetkiyle korunuyor ve mesajlaşma kanalına çıkmıyor.
• Her veri kategorisinin yazılı bir saklama süresi var ve imha gerçekten yapılıyor.
• VERBİS yükümlülüğü kontrol edildi ve sonucu yazılı.
• Her çalışanın kendi hesabı var; ayrılanın erişimi kapatılıyor.
• Veri işleyenlerle (yazılım, muhasebe) yazılı sözleşme var.
• Üye başvuruları için bir kanal ve bir kayıt defteri var.
• Bir ihlal durumunda ne yapılacağı yazılı.

← Tüm rehberler