Sipariş onaylanınca hangi bilgi kime gidiyor?
Bir e-ticaret sitesinde sipariş onaylandığı anda müşterinin adı, telefon numarası ve açık adresi kurye firmasının dispatch sistemine düşüyor; entegrasyon varsa bu otomatik oluyor, yoksa operasyon ekibi bu bilgiyi Excel dosyası ya da WhatsApp mesajı olarak elle aktarıyor. Bağcılar'da iplik ve kumaş satan küçük bir e-ticaret sitesi düşünelim: günde 40-50 sipariş, entegrasyon kurmaya değecek hacimde değil denip bu bilgiler hâlâ bir grup sohbetinden kuryeye düz metin olarak gönderiliyor. Burada veri üçüncü bir kişiye, hatta bazı firmalarda serbest çalışan freelance kuryeye kadar ulaşıyor.
KVKK terminolojisinde satıcı 'veri sorumlusu', kurye firması ise bu teslimat verisi için 'veri işleyen' konumunda sayılıyor. Yani sorumluluk kuryeye geçmiyor, satıcının üzerinde kalıyor; adres bilgisi yanlış kişiye ulaşır ya da WhatsApp grubundan sızarsa ilk muhatap platformun kendisi oluyor, kurye firmasının adı sözleşmede ayrıca geçmiyorsa bu durumu ispat etmek bile zorlaşıyor.
Kurye müşteriyi kendi hattından arayınca numara nerede kalıyor?
Çoğu orta ölçekli kurye firmasında kurye, müşteriyi kendi akıllı telefonundan arıyor; numara kuryenin arama geçmişinde teslimat tamamlandıktan sonra da duruyor. Bu, özellikle sağlık veya finans gibi hassas kategorilerde satıcının fark etmesi gereken bir açık: bir eczane ya da banka kartı teslimatında müşterinin numarası, işi bırakan ya da değişen bir kuryenin telefonunda aylarca kalabiliyor.
Bazı büyük ölçekli kurye operatörleri bu riski 0850 hatlı yönlendirme ya da uygulama içi maskeli arama ile kapatıyor; kurye müşteriyi arıyor ama gerçek numarayı hiçbir zaman görmüyor, sistem aradan bir vekil numara üzerinden bağlantı kuruyor. Kurumsal hesap açarken bu özelliğin olup olmadığını sormak, aylık gönderi sayısı yüksek satıcılar için küçük bir ayrıntı değil; binlerce müşteri numarasının yüzlerce farklı kurye telefonunda birikmesini önleyen tek mekanizma bu.
Teslim tutanağı ve konum kaydı ne kadar süre tutuluyor?
Teslimat tamamlandığında sistemde üç parça veri kalıyor: kuryenin bıraktığı GPS konum damgası, teslim saati ve bazı firmalarda kapı önünde çekilen bir fotoğraf. Bu kayıtlar anlaşmazlık çıkması ihtimaline karşı tutuluyor; kurye firmalarının çoğu bu süreyi 1-2 yıl arasında belirliyor, sonrasında kayıt ya tamamen siliniyor ya da kime ait olduğu anlaşılamayacak şekilde anonimleştiriliyor.
Kapı önü fotoğrafı burada ayrı bir risk taşıyor: kapıdaki isim tabelası, zil panelindeki daire numaraları ya da arka planda görünen bir komşu teslimatın üzerinde durmadığı halde fotoğrafa giriyor. Satıcı, kurye firmasının bu fotoğrafları yalnızca anlaşmazlık dosyasında kullandığını, pazarlama ya da başka bir amaçla paylaşmadığını sözleşmeden görmeden bu özelliği açık bırakmamalı.
Sözleşmede hangi maddeyi görmeden imza atmamalı?
Kurumsal kurye hesabı açarken imzalanan standart sözleşmelerin büyük kısmı taşıma şartlarını, fiyatlandırmayı ve mesai saatlerini ayrıntılı anlatıyor ama veri işleme konusunu tek bir genel maddeye sıkıştırıyor. Satıcının burada sorması gereken üç şey var: veri hangi amaçla ve ne kadar süre tutulacak, teslimatı fiilen yapan kişi firmanın kendi personeli mi yoksa anlaşmalı bir taşeron filo mu, sözleşme sona erdiğinde elindeki müşteri kayıtlarına ne olacak.
İkinci madde özellikle büyükşehirde önemli; çoğu kurye firması kendi kadrosunun yanında plaka bazlı anlaşmalı freelance kuryelerle de çalışıyor, bu durumda asıl firma ile imzalanan veri işleyen sözleşmesi alt taşeronu bağlamıyorsa veri satıcının haberi olmadan üçüncü bir ele geçiyor. Küçük ölçekli satıcıların çoğu bu maddeyi hiç sormadan standart formu imzalıyor; oysa aylık birkaç yüz gönderiden fazlasını taşıyan bir işletme için bu tek paragraf, bir veri ihlali davasında elindeki tek savunma olabiliyor.
