KVKK ve İYS Uyumu: CRM'de İzin, Aydınlatma ve Açık Rıza

Bir ajansın CRM'inde binlerce kişi kaydı vardır. Bir kısmı fuarda toplanmış kartvizitlerden, bir kısmı web formundan, bir kısmı da eski müşterilerden gelir. Pazarlama ekibi bir bülten ya da kampanya SMS'i göndermek istediğinde iki soru sorulmalıdır. Bu kişinin verisini bu amaçla işleyebilir miyim? Bu kişiye bu kanaldan ticari ileti gönderebilir miyim? İlk sorunun cevabı KVKK'da, ikincisinin cevabı elektronik ticaret mevzuatında ve İleti Yönetim Sistemi'ndedir (İYS). Bu yazıda iki rejimi ayrı ayrı açıklıyor, sonra CRM'de birlikte nasıl kurgulanacaklarını adım adım gösteriyoruz.

Metin, kanun ve yönetmeliklerin yazı tarihindeki güncel hâline dayanıyor. Uygulamaya geçmeden önce güncel metni ilgili kaynaktan kontrol edin.

İki ayrı soru, iki ayrı rejim

İki rejim birbirinin yerine geçmez. İYS'de onayı olan bir kişinin verisini KVKK'ya aykırı işliyor olabilirsiniz. KVKK açısından meşru bir hukuki sebebiniz olsa bile İYS'de onay yoksa ticari ileti gönderemezsiniz.

KVKK tarafı: hukuki sebep, aydınlatma, açık rıza

İlkeler. 6698 sayılı Kanunun 4. maddesi verilerin hukuka ve dürüstlük kurallarına uygun, doğru ve güncel, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü işlenmesini ve gerekli süre kadar saklanmasını şart koşar.

Hukuki sebep. 5. maddeye göre kişisel veriler kural olarak açık rıza olmadan işlenemez. Ancak açık rıza aranmayan şartlar da sayılmıştır. Örneğin kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, hukuki yükümlülük ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati. CRM'de her işleme amacı için hangi sebebe dayandığınızı ayrı ayrı yazın. Müşteriye teklif göndermek sözleşme öncesi ilişkiye dayanabilir. Aynı kişiyi bir pazarlama segmentine koymak farklı bir amaçtır ve ayrıca değerlendirilmelidir.

Açık rıza. Kanunun 3. maddesi açık rızayı "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlar. Genel ve her şeyi kapsayan bir onay kutusu bu tanıma uymaz.

Aydınlatma. 10. maddeye göre veri toplanırken ilgili kişiye veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile 11. maddedeki hakları bildirilir. Aydınlatma, açık rızaya dayansın dayanmasın her veri toplamada yapılır.

İkisini ayırın. Kişisel Verileri Koruma Kurulu 26/07/2018 tarihli ve 2018/90 sayılı kararında, aydınlatma metnini okuduğunu onaylamak ile açık rıza vermeyi tek bir kutucukta birleştiren uygulamanın mevzuata aykırı olduğuna karar verdi ve iki işlemin ayrı ayrı yürütülmesini istedi. Form tasarımında aydınlatma metni bir bilgi bağlantısı olarak durmalı. Açık rıza ise amaç bazında ayrı ve işaretsiz kutularla alınmalı.

Haklar ve süreler. İlgili kişi verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme, aktarıldığı üçüncü kişileri bilme gibi haklara sahiptir (md. 11). Başvurular en geç otuz gün içinde sonuçlandırılır (md. 13). İşleme sebebi ortadan kalkan veriler silinir, yok edilir veya anonim hâle getirilir (md. 7). Veri güvenliği için teknik ve idari tedbir almak zorunludur (md. 12).

Yurt dışı aktarım. CRM'iniz yurt dışında barındırılan bir bulut hizmetiyse 9. maddeye bakmanız gerekir. Bu madde 7499 sayılı Kanunla değiştirildi ve değişiklik 1 Haziran 2024'te yürürlüğe girdi. Eski "açık rıza ile yurt dışına aktarım" alışkanlığını güncel metne göre yeniden değerlendirin.

İleti tarafı: 6563, yönetmelik ve İYS

Onay şartı. 6563 sayılı Kanunun 6. maddesine göre ticari elektronik iletiler alıcılara ancak önceden onayları alınarak gönderilebilir. Onay yazılı olarak veya her türlü elektronik iletişim aracıyla alınabilir. Kanundaki ticari elektronik ileti tanımı telefon, çağrı merkezi, otomatik arama, e-posta ve kısa mesajı kapsar.

İYS zorunluluğu. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik (RG 15/7/2015; değişiklikler RG 4/1/2020 ve 28/8/2020) şunları söyler:

• Ticari ileti göndermek isteyen gerçek ve tüzel kişiler İYS'ye kaydolur. İYS'de onayı bulunmayan alıcıya ticari ileti gönderilemez (md. 5).
• Tanıtım ve pazarlamanın yanında kutlama ve temenni gibi tanınırlık amaçlı iletiler de onaya tabidir (md. 5/1). Bayram mesajları bu kapsama girer.
• İYS dışında alınan onaylar üç iş günü içinde İYS'ye kaydedilir. İYS'ye kaydedilmeyen onaylar geçersiz kabul edilir (md. 7/11-12).
• Onay sona ermez, ret hakkı kullanılana kadar geçerlidir (md. 5/1).

Onay metninin şartları (md. 7).

• Onayda alıcının olumlu irade beyanı, adı-soyadı ve elektronik iletişim adresi bulunur. İYS üzerinden alınan onaylarda olumlu irade beyanı ve adres yeterlidir.
• Elektronik ortamda alınan onayın bilgisi, ret imkânıyla birlikte 24 saat içinde alıcıya iletilir. İYS üzerinden alınan onaylarda bu şart uygulanmaz.
• Önceden işaretli kutu kullanılamaz.
• Onay, mal veya hizmetin sunulması için ön şart yapılamaz.
• Onay talebi, alıcıya ticari ileti gönderilerek istenemez.
• Sözleşmenin içine yerleştirilen onay, sözleşmenin sonunda ve imzadan önce, "ticari elektronik ileti" başlığı altında, en az on iki punto ile ve ret imkânı tanınarak alınır.

Onay gerektirmeyen iletiler (md. 6). Alıcının verdiği iletişim bilgisiyle, temin edilen mal ya da hizmetin değişikliği, kullanımı ve bakımıyla ilgili iletiler onaysız gönderilebilir. Abonelik, tahsilat, borç hatırlatma, teslimat gibi bildirimler de bu kapsamdadır, ancak bu bildirimlerde ürün veya hizmet tanıtımı yapılamaz. Fatura hatırlatmasının altına kampanya eklemek onayı gerekli kılar.

B2B: tacir ve esnaf. Kanunun 6. maddesinin ikinci fıkrası, esnaf ve tacirlere onaysız ileti gönderilebileceğini söyler. Yönetmeliğin 6. maddesi iki şart ekler. Göndermeden önce tacir veya esnaf alıcının adresi İYS'ye kaydedilir ve ret hakkını kullanıp kullanmadığı İYS'den kontrol edilir. Ret varsa onay alınmadan ileti gönderilemez. Ajans CRM'lerinde "firma e-postası olduğu için serbest" varsayımı bu yüzden eksiktir. Ayrıca adresin bir kişiye mi yoksa tacire mi ait olduğunu da doğru sınıflandırmanız gerekir.

İçerik (md. 8). İletinin başlığında ya da içeriğinde tacirler için MERSİS numarası ve ticaret unvanı yer alır. Kısa mesajda MERSİS numarası, sesli aramada ticaret unvanı yeterlidir. Nitelik açık değilse "tanıtım", "kampanya" gibi bir ibare kullanılır.

Ret (md. 9-10). Her iletide ret imkânı bulunur. Ret, iletinin gönderildiği kanaldan kolay ve ücretsiz yapılabilmelidir. Ret, bildirildiği kanala ilişkin onayı geçersiz kılar. Hizmet sağlayıcı kendisine gelen ret bildirimlerini üç iş günü içinde İYS'ye bildirir ve aynı süre içinde gönderimi durdurur. Alıcı ret hakkını İYS üzerinden de kullanabilir.

Kanıt ve saklama (md. 13-14). Şikâyette ispat yükü hizmet sağlayıcıya aittir. Onay kayıtları onayın sona erdiği tarihten, diğer kayıtlar kayıt tarihinden itibaren üç yıl saklanır. Alıcı şikâyetini iletinin gönderildiği tarihten itibaren üç ay içinde yapar.

İYS'nin işleyişi. İYS A.Ş.'nin hizmet sağlayıcılara sunduğu temel hizmetler kullanım taahhütnamesi örneğine göre onay ekleme, sorgulama ve güncelleme temel hizmetlerdir ve ücretsizdir. Alıcının İYS üzerinden yaptığı onay ve ret değişiklikleri hizmet sağlayıcıya gün sonunda raporlanır. Hizmet sağlayıcı da her gün zaman damgalı değişiklik raporu alabilir. CRM'iniz bu raporu her gün almalı ve kendi kayıtlarını buna göre güncellemelidir.

CRM'de adım adım kurgu

1. Kişi ile izni ayırın. İzin, kişi kaydının bir alanı olmasın. Kişiye bağlı ayrı kayıtlar tutun. Her kayıtta kanal (arama, mesaj, e-posta), alıcı tipi (bireysel ya da tacir/esnaf), durum (onay ya da ret), tarih-saat, kaynak (web formu, ıslak imzalı form, çağrı kaydı vb.) ve kanıt dosyası bulunsun.
2. Formları ikiye bölün. Aydınlatma metni bir bağlantı ve okundu bilgisi olarak dursun. KVKK açık rızası amaç bazında, ticari ileti onayı kanal bazında ayrı ve işaretsiz kutularla alınsın.
3. İYS senkronizasyonunu kurun. Sistem dışında alınan onaylar üç iş günü içinde İYS'ye gönderilsin. Kaydı geciken onaylar gönderim listelerine giremesin.
4. Gönderimden önce kontrol edin. Her kampanya listesi gönderimden hemen önce İYS durumuyla karşılaştırılsın. Tacir adreslerinde ret kontrolü yapılsın.
5. Ret akışını otomatikleştirin. SMS'teki ret numarasından, e-postadaki ret bağlantısından ya da çağrıdan gelen ret aynı gün CRM'e işlensin ve üç iş günü içinde İYS'ye bildirilsin.
6. Bilgilendirme ile pazarlamayı ayırın. Tahsilat ve teslimat şablonlarında tanıtım içeriğine izin vermeyin.
7. Saklama süresini yazın. İleti onay kayıtları onayın bitiminden itibaren üç yıl saklansın. KVKK açısından amacı biten kişisel veriler için silme ve anonimleştirme takvimi tanımlansın.
8. Başvuru kutusu kurun. KVKK başvuruları için 30 günlük sayaç ve sorumlu atanması olsun.

Lead kaynağından fırsata kadar kişi kayıtlarının bir CRM'de nasıl izlendiğini lead yönetimi demo ekranında inceleyebilirsiniz.

Sık yapılan hatalar

• Tek kutuda aydınlatma ve rıza. Kurul kararı açıkça ayrılmasını istiyor.
• Önceden işaretli "kampanyalardan haberdar olmak istiyorum" kutusu. Yönetmelik bunu yasaklıyor.
• Onayı hizmetin ön şartı yapmak. "Teklif almak için izin verin" kurgusu md. 7/9'a aykırı.
• Onayı CRM'de tutup İYS'ye yüklememek. İYS'ye kaydedilmeyen onay geçersizdir.
• Fatura hatırlatmasına kampanya eklemek. Onaysız gönderilebilen bildirimlerde tanıtım yapılamaz.
• Tacir adreslerini İYS'siz kullanmak. Önce kayıt ve ret kontrolü gerekir.
• Bayram tebriğini serbest sanmak. Kutlama ve temenni iletileri de onaya tabidir.

Kontrol listesi

• Her işleme amacı için KVKK hukuki sebebi yazılı.
• Aydınlatma ve açık rıza ayrı adımlar. Rıza amaç bazında, kutular işaretsiz.
• Ticari ileti onayı kanal bazında ve kanıtıyla tutuluyor.
• Hizmet sağlayıcı İYS'ye kayıtlı. Sistem dışı onaylar üç iş günü içinde İYS'de.
• Gönderim öncesi İYS kontrolü yapılıyor. Tacir adreslerinde ret kontrolü var.
• Her iletide MERSİS/unvan ve aynı kanaldan ücretsiz ret imkânı var.
• Ret bildirimleri üç iş günü içinde işleniyor ve İYS'ye bildiriliyor.
• Onay kayıtları onay bitiminden itibaren üç yıl saklanıyor.
• KVKK başvuruları 30 gün içinde yanıtlanıyor.
• Yurt dışı barındırma varsa 9. maddenin güncel hâline göre değerlendirildi.

Son söz

İzin yönetimi CRM'de tek bir "pazarlama izni var mı" alanıyla çözülemez. Amaç, kanal, kaynak, tarih ve kanıt ayrı tutulduğunda hem KVKK hem İYS denetimine cevap verilebilir. Ajans ve profesyonel hizmet firmaları için kurguladığımız CRM yapısını ajans CRM ve proje yönetimi sayfamızda anlattık.