Değerleme formunu dolduran kişi size adını, telefonunu ve aracının bilgisini bırakır. Bunların hepsi kişisel veridir ve KVKK kapsamındadır.
Bu yazı hukuki danışmanlık değil; galerilerin pratikte en sık atladığı noktaları özetliyor. Kendi durumunuz için bir hukukçuya danışın.
En sık atlanan dört nokta
Aydınlatma metni
Formun yanında, verinin hangi amaçla toplandığını, ne kadar süre saklanacağını ve kimlerle paylaşılacağını anlatan bir metin bulunmalı. Bağlantı olarak verilebilir ama erişilebilir olmalı.
Açık rıza ile aydınlatmayı karıştırmamak
Değerleme talebini karşılamak için veri işlemek sözleşmenin ifasıdır; ayrıca rıza gerekmez. Ancak o numarayı sonradan kampanya mesajı göndermek için kullanacaksanız bu ayrı bir amaçtır ve ayrı bir onay kutusu ister.
Ticari elektronik ileti göndermek ayrıca İYS (İleti Yönetim Sistemi) kaydı gerektirir. Değerleme formundan gelen numaraya izinsiz toplu SMS atmak, hem KVKK hem İYS açısından risklidir.
Erişim sınırı
Panele kimlerin erişebildiği tanımlı olmalı. Her satış danışmanının tüm müşteri listesini görmesi gerekmez; kendi taleplerini görmesi yeterlidir. Ayrılan çalışanın erişimi aynı gün kapatılmalı.
Saklama süresi
Veri süresiz saklanmaz. Sonuçlanmayan talepler için makul bir süre belirleyin ve süre dolduğunda silin veya anonimleştirin. "Belki lazım olur" gerekçesi saklama sebebi değildir.
Pratik kontrol listesi
| Kontrol | Durum |
|---|---|
| Formda aydınlatma metni bağlantısı var mı? | Zorunlu |
| Pazarlama izni ayrı kutuda mı? | Zorunlu (ileti gönderecekseniz) |
| Site HTTPS ile mi yayında? | Zorunlu |
| Panel erişimi kişi bazlı mı? | Gerekli |
| Saklama süresi tanımlı mı? | Gerekli |
| Veri talebi geldiğinde ne yapılacağı belli mi? | Gerekli |
Müşteri "verimi silin" derse
Bu talebi karşılayacak bir yolunuz olmalı. Panelde kaydı silme veya anonimleştirme özelliği bulunmalı ve talebi kimin karşılayacağı belli olmalı. Kurduğumuz panellerde kayıt silme ve dışa aktarma standart olarak bulunur.
Veri ihlali olursa ne yapılır?
Beklenmeyen bir erişim veya sızıntı durumunda yapılması gerekenler bellidir ve süre kısıtı vardır:
- Olayı tespit edin ve kapsamını belirleyin
- Erişimi derhal kapatın
- Kurul'a bildirim yükümlülüğünüzü kontrol edin — süre sınırlıdır
- Etkilenen kişilere bilgi verin
- Olayı ve alınan önlemleri kayıt altına alın
Bu adımların önceden yazılı olması, olay anında karar vermeye çalışmaktan çok daha güvenlidir.
Çalışan tarafı
Müşteri verisine erişen her çalışanla gizlilik taahhüdü imzalanmalı ve işten ayrılışta erişimler aynı gün kapatılmalı. Ayrıca müşteri iletişimi kişisel telefonlardan değil işletme hattından yürütülmeli — aksi hâlde ayrılan çalışanın telefonunda müşteri geçmişi kalır.
Özetle
KVKK uyumu karmaşık bir yazılım işi değil, birkaç düzen işidir: aydınlatma metnini koyun, pazarlama iznini ayırın, erişimi sınırlayın ve saklama süresini tanımlayın.