KVKK ve CRM: Müşteri Verisini Saklama, İzin ve Silme Süreçleri

CRM'iniz binlerce kişinin adını, telefonunu ve e-postasını taşır. Bu verilerin ne zaman, hangi izinle toplandığını gösteren bir kayıt genellikle yoktur. Bir gün bir müşteri verilerinin silinmesini ister ve o an kimse ne yapılacağını bilmez. KVKK uyumu yalnızca bir hukuk metni işi değil, CRM'de kurulan birkaç alan ve süreç işidir.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kendi durumunuz için bir hukukçuya danışın.

Önce envanter: elinizde ne var?

Uyumun ilk adımı, hangi kişisel veriyi neden tuttuğunuzu yazmaktır. CRM'deki her alan için üç soruyu cevaplayın: bu veri neden toplanıyor, hangi hukuki sebebe dayanıyor, ne kadar süre saklanacak?

Bu çalışma çoğu ekipte sürpriz üretir. Yıllar önce açılmış, kimsenin kullanmadığı ama kişisel veri taşıyan alanlar ortaya çıkar. Kullanılmayan kişisel veri en yüksek risktir: faydası yoktur ama sorumluluğu vardır.

İzin kaydını CRM'de tutun

İzin alındığını söylemek yetmez; ne zaman, nasıl ve ne için alındığı kanıtlanabilir olmalı. Asgari olarak şu alanlar gerekir:

• İzin tarihi ve saati
• İznin alındığı kanal: web formu, sözleşme, etkinlik kaydı
• İzin kapsamı: pazarlama e-postası, arama, SMS ayrı ayrı
• Aydınlatma metninin hangi sürümünün gösterildiği
• İzin geri çekildiyse tarihi

Kanal ve metin sürümü en çok atlanan alanlardır. Metin güncellendiğinde eski izinlerin hangi sürüme dayandığı bilinmiyorsa, tüm izin havuzu tartışmalı hale gelir.

Her veri işleme izne dayanmaz

Yaygın bir yanılgı, her şey için açık rıza gerektiğidir. Mevcut bir müşteriyle sözleşmenin ifası için gereken veri işleme, ayrı bir rızaya dayanmaz.

Bunun pratik sonucu şudur: müşteri pazarlama iznini geri çektiğinde, sözleşme gereği tutulan fatura ve işlem verisi silinmez. Hangi verinin hangi sebebe dayandığı yazılı değilse bu iki durum birbirine karışır ve ekip ya fazla siler ya da hiç silmez.

Saklama süresi ve otomatik temizlik

Kişisel veri süresiz saklanamaz. Her veri türü için bir saklama süresi belirleyin ve süre dolduğunda ne olacağını yazın.

Pratik yaklaşım, CRM'de basit bir kural kurmaktır: belirli bir süredir hiçbir etkileşimi olmayan ve müşteri olmamış kayıtlar işaretlensin, sonra anonimleştirilsin veya silinsin. Elle yürütülen saklama politikası birkaç ay sonra uygulanmayan bir belgeye dönüşür.

Silme talebi geldiğinde ne yapılır?

Talep geldiği an panik yaşanmaması için süreci önceden yazın:

• Talebi kim karşılıyor ve nereye kaydediyor?
• Kişinin kimliği nasıl doğrulanıyor?
• Veri hangi sistemlerde var? CRM, e-posta aracı, destek sistemi, yedekler.
• Hangi veriler silinemez ve neden? Yasal saklama yükümlülüğü olanlar.
• Talep sahibine hangi sürede dönülüyor?

Üçüncü madde en zorudur. CRM'den silinen bir kayıt pazarlama aracında yaşamaya devam ediyorsa talep karşılanmış sayılmaz.

Silmek yerine anonimleştirmek

Kaydı tamamen silmek raporlarınızı bozar: geçmiş çeyreğin satış rakamları değişir. Çoğu durumda anonimleştirme daha iyi bir çözümdür.

Kişiyi tanımlayan alanlar temizlenir, anlaşma tutarı ve tarihi kalır. Böylece hem talep karşılanır hem finansal geçmişiniz tutarlı kalır. Anonimleştirmenin gerçek olması şarttır; geri döndürülebilir bir maskeleme silme sayılmaz.

Erişim yetkisi de uyumun parçası

CRM'de herkesin her kaydı görebilmesi yaygın bir durumdur ve gereksiz risktir. Yetkiyi role göre daraltın: temsilci kendi portföyünü görsün, dışa aktarma yetkisi sınırlı olsun.

Toplu dışa aktarma en büyük sızıntı kaynağıdır. Kimin ne zaman dışa aktardığı kayıt altında değilse, bir olay yaşandığında kapsamı belirlemek imkânsız hale gelir.

Nereden başlamalı

Bu hafta yapılacak iş: CRM'inizdeki kişisel veri taşıyan alanları listeleyin ve her birinin yanına neden tutulduğunu yazın. Gerekçesi yazılamayan alanlar, uyum çalışmanızın ilk maddesidir.

Closync, izin kayıtlarını ve saklama sürelerini müşteri kaydının içinde tutarak uyumu günlük akışın parçası haline getirir.