Restoran ve kafe işletmelerinde müşteri telefon numarası, adres, kredi kartı bilgisi ve satış verileri her gün dijital ortamda işlenir. Bu bilgilerin yetkisiz erişime açılması, silinmesi veya değiştirilmesi hem yasal sorumluluk doğurur hem de işletmenin itibarını doğrudan etkiler. Bu yazıda restoran veri güvenliğinin hangi alanlarda risk taşıdığını, hangi önlemlerin alınması gerektiğini ve bulut tabanlı sistemlerin bu konuda nasıl çalıştığını somut adımlarla ele alacağız.
Restoranlarda Hangi Veriler Risk Altında
Bir restoran veya kafe işletmesi günlük operasyonunda dört ana veri kategorisi toplar: müşteri kişisel bilgileri (ad, telefon, adres), ödeme bilgileri (kredi kartı numarası, CVV, son kullanma tarihi), satış ve adisyon kayıtları (tutar, tarih, ürün detayı) ve tedarikçi-personel bilgileri (sözleşme, maaş, stok fiyatları). Bu verilerin her biri farklı yasal düzenlemeye tabidir ve sızması durumunda farklı sonuçlar doğurur.
Müşteri telefon numarası ve adresi 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır; açık rıza alınmadan üçüncü tarafla paylaşılamaz, gereksiz yere saklanamaz. Kredi kartı bilgileri ise PCI DSS standardına tabidir ve doğrudan işletme sunucusunda saklanmamalıdır. Satış kayıtları vergi mevzuatı gereği beş yıl süreyle saklanmak zorundadır ancak bu süre boyunca yetkisiz erişime karşı korunmalıdır. Tedarikçi ve personel bilgileri ise ticari sır niteliğindedir; rakip bir işletmenin eline geçmesi fiyat politikası ve tedarik zincirini doğrudan etkiler.
Yerel Sunucu ve Bulut Sistemlerinde Güvenlik Farkı
Yerel sunucu kullanan bir restoran yazılımında tüm veriler işletmenin kendi bilgisayarında veya lokal ağındaki bir cihazda saklanır. Bu durumda güvenlik sorumluluğu tamamen işletmeye aittir: elektrik kesintisi, donanım arızası, yangın veya hırsızlık durumunda veri kaybı yaşanabilir. Yerel sunucuda düzenli yedekleme yapılmadığında bir haftalık satış kaydı bile geri getirilemez hale gelebilir. Ayrıca işletme sahibi veya teknik personel yetkili olmayan kişilere şifre verdiğinde veya antivirüs güncellemesi yapmadığında sistem fidye yazılımı (ransomware) saldırısına açık hale gelir.
Bulut tabanlı sistemlerde ise veriler işletme dışındaki veri merkezlerinde saklanır ve bu merkezler ISO 27001 gibi uluslararası güvenlik standartlarına sahiptir. Estorix gibi bulut platformları verileri otomatik olarak şifreler, günlük yedek alır ve birden fazla sunucuda kopyalar. Elektrik kesintisi veya donanım arızası durumunda işletme hiçbir veri kaybı yaşamaz; internet bağlantısı geri geldiğinde sistem kaldığı yerden devam eder. Ancak bulut sistemlerde de kullanıcı şifrelerinin güçlü olması ve düzenli değiştirilmesi gerekir; aksi takdirde yetkisiz erişim riski devam eder.
Şifreleme ve Yedekleme Mekanizmaları
Bulut tabanlı restoran yazılımları verileri iki katmanda şifreler: iletim sırasında (HTTPS/TLS) ve depolama sırasında (AES-256). İletim şifrelemesi, garson uygulamasından veya adisyon programından gönderilen verilerin internet üzerinde okunmasını engeller. Depolama şifrelemesi ise veri merkezindeki disklere fiziksel erişim sağlansa bile verilerin okunamaz halde kalmasını sağlar. Yedekleme ise günlük otomatik olarak yapılır ve en az üç farklı coğrafi bölgede saklanır; böylece bir veri merkezinde yangın çıksa bile veriler diğer merkezlerden geri yüklenir.
Personel Yetkilendirme ve Erişim Kontrolü
Restoran yazılımında her kullanıcının yalnızca görevini yerine getirmek için gereken verilere erişmesi gerekir. Garson, yalnızca kendi aldığı siparişleri ve atandığı masaları görmeli; başka garsonların adisyonlarını değiştirememeli veya günlük ciro raporuna ulaşamamalıdır. Kasiyer, ödeme alma ve gün sonu kapama yetkisine sahip olmalı ancak stok fiyatlarını veya tedarikçi bilgilerini görememeli. Mutfak personeli yalnızca sipariş detaylarını görmeli; müşteri telefon numarası veya ödeme bilgisi ekranında görünmemelidir.
Bu yetkilendirme yapısı kullanıcı bazlı rol tanımlarıyla sağlanır. Estorix gibi sistemlerde yönetici, her kullanıcı için hangi modüllere erişebileceğini, hangi raporları görebileceğini ve hangi işlemleri yapabileceğini ayrı ayrı belirler. Personel işten ayrıldığında hesabı hemen kapatılmalı veya şifresi değiştirilmelidir; aksi takdirde eski çalışan uzaktan sisteme giriş yaparak güncel verilere ulaşabilir. Özellikle garson uygulaması gibi mobil araçlarda her cihazın ayrı bir kullanıcı hesabıyla çalışması ve cihaz kaybında uzaktan erişimin kapatılabilmesi önemlidir.
Ödeme Bilgilerinin İşlenmesi ve PCI DSS
Kredi kartı bilgileri restoran yazılımında doğrudan saklanmamalıdır. PCI DSS standardı, kart numarası ve CVV kodunun işletme sunucusunda tutulmasını yasaklar; bu bilgiler yalnızca ödeme servis sağlayıcısının (PSP) sunucusunda şifreli olarak saklanabilir. Restoran yazılımı, müşteri kartla ödeme yaptığında işlemi doğrudan PSP'ye yönlendirir ve yalnızca "ödeme başarılı" veya "ödeme başarısız" yanıtını alır. Böylece işletme hiçbir zaman kart bilgisini görmez veya saklamaz.
Fiziksel POS cihazı kullanılan durumlarda da benzer mantık geçerlidir: müşteri kartını cihaza okuttuğunda bilgiler doğrudan banka ağına gider, restoran yazılımı yalnızca onay kodunu ve tutarı kaydeder. Ancak bazı eski sistemlerde kart numarasının son dört hanesi veya tam numarası adisyon ekranında görünür; bu durum güvenlik açığıdır ve mevzuata aykırıdır. Bulut tabanlı sistemlerde ödeme entegrasyonu genellikle tokenizasyon yöntemiyle çalışır: gerçek kart numarası yerine tek kullanımlık bir kod (token) üretilir ve bu kod adisyona kaydedilir.
Sık Yapılan Hatalar ve Önlenebilir Riskler
Restoran işletmelerinde veri güvenliği konusunda en sık yapılan hata, tüm personelin aynı kullanıcı adı ve şifreyi kullanmasıdır. Bu durumda bir sorun yaşandığında hangi personelin hangi işlemi yaptığı tespit edilemez ve yetkisiz erişim riski artar. İkinci yaygın hata, yazılım şifresinin "1234" veya işletme adı gibi tahmin edilebilir bir değer olmasıdır. Üçüncü hata ise personel işten ayrıldığında hesabının kapatılmaması veya şifrenin değiştirilmemesidir.
| Hata | Risk | Önlem |
|---|---|---|
| Ortak kullanıcı hesabı | Yetkisiz işlem, denetim kaybı | Her personele ayrı hesap ve rol tanımı |
| Zayıf şifre | Tahmin veya kaba kuvvet saldırısı | En az 8 karakter, harf-rakam-sembol karışımı |
| Eski personel erişimi | Veri sızıntısı, sabotaj | İşten çıkışta hesap kapatma veya şifre sıfırlama |
| Yedekleme yapılmaması | Donanım arızasında veri kaybı | Bulut sistemde otomatik yedekleme veya haftalık manuel yedek |
Bir diğer risk alanı, paket servis programı ve pazaryeri entegrasyonlarıdır. Yemeksepeti, Getir Yemek gibi platformlardan gelen siparişlerde müşteri telefon numarası ve adresi otomatik olarak sisteme aktarılır. Bu bilgiler yalnızca sipariş teslimatı için kullanılmalı, pazarlama amacıyla saklanmamalı veya üçüncü taraflara verilmemelidir. KVKK uyarınca müşteriden açık rıza alınmadan bu bilgiler başka amaçla işlenemez.
Yasal Uyumluluk ve Denetim Hazırlığı
Kişisel Verilerin Korunması Kurulu (KVKK) ve Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) kayıtları, belirli büyüklükteki işletmeler için zorunludur. Restoran 50'den fazla çalışanı varsa veya yılda 25 milyondan fazla kişisel veri işliyorsa VERBİS'e kayıt yaptırmalıdır. Kayıt sırasında hangi verilerin toplandığı, ne kadar süre saklandığı, kimlere aktarıldığı ve hangi güvenlik önlemlerinin alındığı beyan edilir. Bu beyanın gerçeği yansıtması gerekir; aksi takdirde denetimde idari para cezası uygulanabilir.
Denetim hazırlığı için işletme, veri işleme envanteri tutmalı ve her veri kategorisi için saklama süresini belirlemelidir. Örneğin müşteri telefon numarası sipariş tamamlandıktan sonra en fazla altı ay saklanabilir; bu süre sonunda otomatik olarak silinmelidir. Satış kayıtları ise vergi mevzuatı gereği beş yıl saklanır ancak müşteri adı ve telefon numarası bu kayıtlardan ayrıştırılarak anonim hale getirilebilir. Bulut tabanlı sistemlerde bu süreçler genellikle otomatik çalışır; işletme yalnızca saklama politikasını tanımlar, sistem belirlenen süre sonunda verileri siler veya anonimleştirir.
Bulut Sistemlerde Veri Yedekliliği ve Felaket Kurtarma
Bulut tabanlı restoran yazılımlarında veri yedekliliği üç katmanda sağlanır: anlık senkronizasyon, günlük yedekleme ve coğrafi dağıtım. Anlık senkronizasyon, bir adisyon kaydedildiğinde verilerin aynı anda birden fazla sunucuya yazılmasını sağlar; böylece bir sunucu arızalansa bile diğeri hemen devreye girer. Günlük yedekleme, her gece tüm verilerin ayrı bir depolama alanına kopyalanmasıdır; bu yedekler en az 30 gün saklanır ve gerektiğinde geri yüklenir. Coğrafi dağıtım ise verilerin farklı şehirlerdeki veri merkezlerinde tutulmasıdır; böylece bir bölgede deprem veya yangın olsa bile veriler diğer bölgeden erişilebilir durumda kalır.
Felaket kurtarma planı, işletmenin internet bağlantısı kesildiğinde veya bulut sağlayıcısında büyük bir arıza yaşandığında ne yapacağını tanımlar. Estorix gibi sistemlerde internet kesildiğinde adisyon alma ve ödeme işlemleri çevrimdışı modda devam eder; bağlantı geri geldiğinde veriler otomatik olarak senkronize edilir. Bulut sağlayıcısında arıza durumunda ise yedek veri merkezleri devreye girer ve işletme en fazla birkaç dakika kesinti yaşar. Bu süreçler işletme tarafından manuel olarak yönetilmez; bulut altyapısının kendi otomasyonu tarafından gerçekleştirilir.
Sık Sorulan Sorular
Bulut sistemlerde verilerim güvende mi, başkaları görebilir mi?
Bulut tabanlı restoran yazılımları verileri şifreli olarak saklar ve yalnızca işletmenin yetkili kullanıcıları erişebilir. Yazılım sağlayıcısının teknik personeli bile verileri okuyamaz çünkü şifreleme anahtarı işletmeye özgüdür. Veri merkezleri ISO 27001 standardına sahiptir ve düzenli güvenlik denetimine tabidir.
Yerel sunucudan buluta geçerken verilerim kaybolur mu?
Geçiş sırasında mevcut veriler dışa aktarılır, kontrol edilir ve bulut sistemine yüklenir. Bu süreç genellikle birkaç saat sürer ve işletme normal çalışmasına devam edebilir. Geçiş tamamlandıktan sonra eski sistem bir süre daha yedek olarak saklanır; böylece herhangi bir sorun yaşanırsa geri dönüş mümkündür.
Personel şifremi biliyorsa ne yapmalıyım?
Yönetici panelinden hemen şifrenizi değiştirin ve her personele ayrı kullanıcı hesabı oluşturun. Ortak şifre kullanımı hem güvenlik açığıdır hem de denetim kaybına yol açar. Her personelin yalnızca görevine uygun yetkilere sahip olması gerekir.
KVKK uyumluluğu için ne yapmalıyım?
Öncelikle hangi kişisel verileri topladığınızı, ne kadar süre sakladığınızı ve kimlere aktardığınızı belirleyin. Müşterilerden açık rıza alın ve bu rızayı kaydedin. Veriler için saklama süresi tanımlayın ve süre dolduğunda otomatik silme veya anonimleştirme yapın. İşletmeniz VERBİS kaydı gerektiriyorsa başvurunuzu tamamlayın.
Kredi kartı bilgilerini sistemde saklayabilir miyim?
Hayır, PCI DSS standardı kredi kartı numarası ve CVV kodunun işletme sunucusunda saklanmasını yasaklar. Ödeme işlemleri doğrudan ödeme servis sağlayıcısı üzerinden yapılmalı ve yalnızca onay kodu kaydedilmelidir. Bulut sistemlerde bu süreç otomatik olarak tokenizasyon yöntemiyle yönetilir.
Restoran veri güvenliği, teknoloji seçiminden personel eğitimine kadar birçok alanı kapsayan sürekli bir süreçtir. Bulut tabanlı sistemler otomatik yedekleme ve şifreleme ile bu süreci kolaylaştırır ancak kullanıcı yetkilendirmesi ve şifre politikası gibi konularda işletme sorumluluğu devam eder. Daha fazla bilgi için demo talebi oluşturabilirsiniz.
