CRM sistemleri satış ve müşteri deneyimi ekipleri için kritik altyapılardır; ancak isim, telefon, e-posta, görüşme geçmişi, satın alma davranışı ve segment bilgisi gibi çok sayıda kişisel veriyi aynı noktada topladıkları için KVKK bakımından dikkatle yapılandırılmaları gerekir.
KVKK uyumlu CRM yalnızca sisteme bir aydınlatma metni eklemek anlamına gelmez. Veri yaşam döngüsünün tamamının; toplama, kullanım, paylaşım, saklama, silme ve erişim süreçleriyle birlikte ele alınması gerekir.
1. CRM Veri Envanterini Çıkarın
İlk adım CRM içerisinde gerçekte hangi kişisel verilerin tutulduğunu belirlemektir. Standart alanların yanında satış ekiplerinin serbest metin olarak girdiği notlar da dikkate alınmalıdır.
Envanterde en azından veri kategorisi, veri kaynağı, işleme amacı, erişen ekip, saklama süresi ve paylaşım yapılan sistemler görünür olmalıdır.
2. Her Veri Alanının İşleme Amacını Belirleyin
CRM’de bir alanın teknik olarak bulunabilmesi o verinin mutlaka toplanması gerektiği anlamına gelmez. Veri minimizasyonu yaklaşımıyla yalnızca gerçek iş ihtiyacı bulunan bilgiler tutulmalıdır.
Örneğin satış görüşmesi için gerekli iletişim verileriyle pazarlama segmentasyonu için kullanılan verilerin amaçları ve hukuki değerlendirmeleri aynı olmayabilir.
3. Aydınlatma ve Açık Rızayı Birbirine Karıştırmayın
Aydınlatma yükümlülüğü ile açık rıza farklı kavramlardır. Her CRM kaydı için otomatik olarak açık rıza alınması gerektiği şeklinde bir yaklaşım doğru değildir. İşleme şartı ve amaç somut sürece göre belirlenmelidir.
Açık rızaya dayanılan durumlarda rızanın özgür iradeyle verilmesi, belirli bir konuya ilişkin olması ve geri alınabilmesi gibi gereklilikler ayrıca değerlendirilmelidir.
4. Rol Bazlı Erişim Uygulayın
CRM’deki bütün çalışanların bütün müşteri verilerini görmesi gerekmemelidir. Satış, destek, pazarlama, finans ve yönetim ekiplerine ihtiyaçları kadar erişim verilmelidir.
Özellikle dışa aktarma, toplu indirme, silme ve yönetici yetkileri sınırlandırılmalı ve mümkün olduğunda loglanmalıdır.
5. Saklama Sürelerini CRM İçinde Uygulanabilir Hale Getirin
Saklama ve imha politikası yalnızca doküman olarak kalmamalıdır. Süresi dolan kayıtların tespit edilmesi, anonimleştirilmesi veya silinmesi için CRM üzerinde teknik süreç oluşturulmalıdır.
Her müşteri veya lead kaydının sonsuza kadar tutulması varsayılan davranış olmamalıdır.
6. CRM Entegrasyonlarını Haritalayın
CRM çoğu zaman tek başına çalışmaz. Web formları, e-posta pazarlama platformları, çağrı merkezi, ERP, destek sistemi, WhatsApp entegrasyonları, veri ambarı ve reklam platformlarıyla bağlantılı olabilir.
Bu nedenle yalnız CRM veritabanını incelemek yeterli değildir. Kişisel verinin sistemler arasında hangi API veya entegrasyonla hareket ettiği de veri akış haritasına dahil edilmelidir.
7. Yurt Dışı Veri Aktarımını Kontrol Edin
Bulut tabanlı CRM veya bağlı servislerin sunucuları Türkiye dışında bulunabilir veya yabancı grup şirketleri/veri işleyenler sürece dahil olabilir. Bu durumda KVKK’nın yurt dışına veri aktarımına ilişkin güncel hükümleri ayrıca değerlendirilmelidir.
Aktarım mekanizması, uygun güvenceler, sözleşme yapısı ve teknik veri akışı kullanılan hizmete göre analiz edilmelidir.
8. Ticari Elektronik İleti Sürecini KVKK’dan Ayrı İzleyin
CRM’de müşteri kaydının bulunması, kişiye sınırsız pazarlama mesajı gönderilebileceği anlamına gelmez. Ticari elektronik ileti yükümlülükleri ile kişisel veri işleme yükümlülükleri birbirine bağlı olsa da aynı hukuki süreç değildir.
İzin, ret ve iletişim tercihleri CRM ile ilgili ileti yönetimi sistemleri arasında tutarlı şekilde senkronize edilmelidir.
9. Veri Güvenliği Kontrolleri
- Çok faktörlü kimlik doğrulama,
- rol bazlı yetkilendirme,
- güçlü parola ve oturum politikaları,
- erişim ve dışa aktarma logları,
- API anahtarlarının güvenli yönetimi,
- yedekleme ve geri yükleme kontrolleri,
- şüpheli erişimlerin izlenmesi
CRM güvenliği yalnızca KVKK uyumu için değil, müşteri verisinin ticari değerini korumak için de gereklidir.
10. İlgili Kişi Talepleri İçin Operasyon Kurun
Bir kişinin erişim, düzeltme veya mevzuatta öngörülen diğer hakları kapsamında talepte bulunması halinde verinin hangi sistemlerde bulunduğu hızlı biçimde tespit edilebilmelidir.
CRM kayıtları başka sistemlere kopyalanıyorsa talep yönetimi yalnızca ana CRM kaydı üzerinden yürütülmemelidir.
CRM KVKK Kontrol Listesi
- CRM veri envanteri güncel mi?
- Her alanın işleme amacı belli mi?
- Gereksiz veri alanları kaldırıldı mı?
- Rol bazlı erişim uygulanıyor mu?
- Saklama ve silme süreleri teknik olarak çalışıyor mu?
- Üçüncü taraf entegrasyonlar kayıtlı mı?
- Yurt dışı veri akışları değerlendirildi mi?
- Loglama ve güvenlik kontrolleri yeterli mi?
- İlgili kişi taleplerine cevap verecek operasyon mevcut mu?
Sonuç
KVKK uyumlu CRM, hukuk ekibinin hazırladığı metinlerle sınırlı değildir. Veri envanteri, iş süreçleri, erişim yetkileri, API entegrasyonları ve güvenlik kontrollerinin aynı mimaride çalışması gerekir.
B10 Digital Agency’nin KVKK & Dijital Uyum Danışmanlığı, API & Sistem Entegrasyonları ve Güvenli Web Altyapısı hizmetleri bu yapının hukuki, operasyonel ve teknik katmanlarının birlikte ele alınmasını sağlar.
