KVKK Uyumlu CRM Nasıl Olmalı? Seçim ve Kullanım Listesi

KVKK uyumlu bir CRM; kişisel verilere yalnızca yetkili kişilerin erişmesini sağlayan, kimin neye eriştiğini kayıt altına alan, verileri güvenli bir altyapıda tutan ve aydınlatma ile açık rıza süreçlerini takip etmenizi kolaylaştıran bir yazılımdır. Ancak şunu baştan belirtmek gerekir: KVKK uyumu yazılımın tek başına sahip olduğu bir etiket değil, yazılımı kullanan işletmenin süreçleriyle birlikte sağlanan bir durumdur.

Bu yazıda 6698 sayılı Kişisel Verilerin Korunması Kanunu açısından bir CRM'den neler beklemeniz gerektiğini ve CRM'i kullanırken hangi alışkanlıkları edinmeniz gerektiğini bir kontrol listesi hâlinde topladık.

Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Uyum çalışmalarınızda güncel mevzuatı, Kişisel Verileri Koruma Kurumu kararlarını ve bir uzman görüşünü esas alın.

CRM'deki veriler neden KVKK kapsamındadır?

CRM'e kaydettiğiniz ad-soyad, telefon numarası, adres, görüşme notları, teklif bilgileri ve santral entegrasyonu varsa çağrı kayıtları, gerçek kişilere ilişkin olduğu sürece kişisel veridir. Bir firmanın yetkilisinin adı ve cep telefonu da kişisel veridir. Bu nedenle CRM, işletmenizin en yoğun kişisel veri barındıran sistemlerinden biridir.

KVKK, verilerin hukuka ve dürüstlük kurallarına uygun, belirli ve meşru amaçlarla, amaçla bağlantılı ve ölçülü biçimde işlenmesini; gerektiği süre kadar saklanmasını ister. Bu ilkeler, CRM'e hangi alanları açacağınızdan kimin hangi kayda erişeceğine kadar her kararı etkiler.

Veri sorumlusu kim, CRM sağlayıcısı hangi rolde?

CRM'e müşteri verisini giren ve bu verilerin hangi amaçla işleneceğine karar veren işletme veri sorumlusudur. Bulut CRM sağlayıcısı ise genellikle verileri işletme adına, onun talimatıyla barındıran veri işleyen konumundadır. Bu ayrım önemlidir: aydınlatma yapmak, gerektiğinde açık rıza almak ve ilgili kişi başvurularını cevaplamak veri sorumlusunun, yani sizin yükümlülüğünüzdür.

CRM sağlayıcısıyla ilişkinizi yazılı bir sözleşmeyle düzenlemeniz, verilerin nerede barındırıldığını ve yurt dışına aktarım olup olmadığını sormanız gerekir. Yurt dışına aktarım KVKK'nın 9. maddesi kapsamında ayrı şartlara bağlıdır ve bu madde 2024'te değiştirilmiştir; güncel hâlini kontrol edin.

KVKK uyumlu bir CRM'de hangi teknik özellikler olmalı?

KVKK'nın 12. maddesi, veri sorumlusunun verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri almasını ister. Bir CRM seçerken aşağıdaki listeyi kullanabilirsiniz:

Yetkilendirme nasıl kurgulanmalı?

Ölçülülük ilkesi, her çalışanın yalnızca işini yapmak için gereken verilere erişmesini gerektirir. Pratikte:

• Kayıt silme, kullanıcı ekleme ve sistem ayarları gibi işlemleri yalnız yöneticilere bırakın.
• Çağrı ses kayıtlarını dinleme yetkisini ihtiyaç duyan sınırlı kişilere verin.
• İşten ayrılan çalışanın hesabını aynı gün kapatın.
• Ortak kullanıcı hesabı kullanmayın; her çalışanın kendi hesabı olsun ki işlem günlüğü anlamlı olsun.

Rol tasarımını CRM kullanıcı rolleri ve yetkilendirme yazımızda daha ayrıntılı anlattık.

Aydınlatma ve açık rıza CRM'de nasıl takip edilir?

KVKK'nın 10. maddesi, veri toplanırken ilgili kişinin aydınlatılmasını zorunlu tutar. Açık rıza ise her işleme için gerekmez; KVKK'nın 5. maddesindeki diğer işleme şartlarından biri (örneğin bir sözleşmenin kurulması veya ifası için gerekli olması) yoksa gündeme gelir. Pazarlama amaçlı işleme, açık rızanın sık gerektiği alanlardan biridir.

CRM tarafında önemli olan, her kişi için şu sorulara hızla cevap verebilmektir:

1. Bu kişiye aydınlatma metni ne zaman, hangi kanalla iletildi?
2. Açık rıza gerekiyorsa alındı mı, hangi metin için alındı?
3. Kişi rızasını geri aldı mı?
4. Ticari ileti için İYS durumu nedir?

Bu bilgiler bir klasördeki kâğıtlarda veya ayrı bir tabloda dururken satış ekibi müşteriyi ararken göremez. Müşteri kartında görünür olması, hatalı iletişimi en baştan önler.

Saklama süresi ve silme nasıl yönetilmeli?

KVKK, işlenme amacı ortadan kalkan verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini ister (7. madde). Yıllardır dönüş yapmamış, ilgisiz olarak işaretlenmiş adayları sonsuza kadar saklamak bu ilkeyle çelişebilir. Kendi saklama sürelerinizi bir politika olarak belirleyin ve belirli aralıklarla CRM'deki eski kayıtları gözden geçirin. Silme yetkisinin yalnız yöneticide olması, bu işlemin kontrollü yapılmasını sağlar.

İlgili kişi başvurusu gelirse ne yapılmalı?

KVKK'nın 11. maddesi, kişilere verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi haklar tanır. Başvurular kanunda öngörülen süre içinde (13. maddeye göre en geç otuz gün) sonuçlandırılmalıdır. CRM'de bir kişiye ait bütün kayıtların (kart, görüşmeler, teklifler, mesajlar) tek yerden bulunabilmesi, bu süreyi kolaylaştırır.

CRM kullanırken edinilmesi gereken alışkanlıklar nelerdir?

• Görüşme notlarına sağlık, inanç gibi özel nitelikli verileri işin gereği olmadıkça yazmayın.
• Müşteri listelerini kişisel e-postalara, mesajlaşma gruplarına aktarmayın.
• Paylaşılan bilgisayarlarda oturumu kapatın.
• Çağrı kaydı yapıyorsanız arayanı bilgilendirin; konuyu çağrı kaydı dinleme ve KVKK yazımızda ele aldık.

Veri ihlali olursa ne yapılmalı?

En iyi tedbirlere rağmen bir çalışanın parolası ele geçirilebilir veya bir müşteri listesi yanlış kişiye gönderilebilir. KVKK'nın 12. maddesi, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu'na bildirmesini öngörür. Kurul bu bildirim için süre ve usul belirlemiştir; güncel hâlini Kurumun internet sitesinden kontrol edin.

CRM açısından bu, iki hazırlık gerektirir. Birincisi, kimin hangi kayda ne zaman eriştiğini gösteren işlem günlüğü; ihlalin kapsamını belirlemek için ilk bakılacak yer burasıdır. İkincisi, yetkisiz erişim fark edildiğinde ilgili kullanıcı hesabını hızla kapatabilme imkânı. Bu iki konuyu CRM seçerken sağlayıcıya mutlaka sorun.

VERBİS kaydı CRM ile ilgili mi?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), belirli şartları taşıyan veri sorumlularının kayıt olmakla yükümlü olduğu sicildir. Kayıt yükümlülüğünüz varsa, CRM'de işlediğiniz veri kategorilerini (kimlik, iletişim, müşteri işlem, varsa ses kaydı gibi) envanterinize ve VERBİS kaydınıza yansıtmanız gerekir. Kayıt yükümlülüğünün kapsamı ve istisnaları Kurul kararlarıyla belirlendiğinden güncel durumu Kurumun kaynaklarından kontrol edin.

selfCRM bu konuda neler sunar?

selfCRM'de Kullanıcı ve Yönetici rolleri vardır; silme, kullanıcı ve dahili tanımlama yalnız yöneticiye açıktır. Çok kiracılı yapıda her firmanın verisi veritabanında ayrılır, erişim HTTPS üzerinden yapılır, hatalı girişler sınırlanır ve işlemler günlüğe yazılır. Santral ses kayıtlarını yalnız yöneticiler ve "ses kaydı dinler" izni verilen kullanıcılar dinleyebilir; her dinleme işlem günlüğüne kaydedilir.

Aday ve müşteri kartındaki "Onam ve İYS" bölümünden, selfOnam ile KVKK aydınlatma metni, açık rıza veya sözleşme bağlantısını SMS ile gönderebilir ve durumun otomatik olarak karta geri gelmesini izleyebilirsiniz. Aynı bölümde İYS sorgusu da yapılır. Bu araçlar uyumu kolaylaştırır; metinlerinizin içeriği ve hukuki dayanaklarınız ise sizin ve danışmanınızın sorumluluğundadır. Ayrıntılar için özellikler sayfasına bakabilirsiniz.

selfCRM'i yakından tanıyın: CRM programı nedir? · Özellikler · Paketler · Demo ve iletişim