KVKK ve GDPR, CRM'deki müşteri verileri hakkında ne diyor?
CRM tanımı gereği kişilerden oluşan bir veri tabanıdır. Bu da onu AB'de GDPR'ın (Tüzük (AB) 2016/679), Türkiye'de kurulu bir şirket için ise 6698 sayılı KVKK'nın ve Kişisel Verileri Koruma Kurumu'nun denetiminin kapsamına sokar.
Kısa cevap
- Her veri işleme faaliyetinin bir hukuki dayanağı olmalıdır; GDPR'da bunlar rıza, sözleşme, yasal yükümlülük veya meşru menfaattir. KVKK da veri işlemeyi hukuki sebeplere bağlar.
- B2B potansiyel müşteri araştırması çoğunlukla meşru menfaate dayanır; e-posta veya WhatsApp pazarlaması ise rıza gerektirir.
- CRM sağlayıcısıyla bir veri işleme sözleşmesi (DPA) imzalarsınız — sağlayıcı veri işleyen, siz veri sorumlususunuz.
- İlgili kişilerin taleplerine (erişim, düzeltme, silme) yanıt verebilmelisiniz; GDPR ayrıca veri taşınabilirliğini de kapsar.
- 4softcrm verileri AB'de barındırır ve GDPR bu altyapıda uygulanır; Türkiye'deki firma olarak aydınlatma, rıza ve ihlal bildirimi gibi KVKK yükümlülükleri sizdedir.
Uyum için CRM'de neler bulunmalı?
- Her kişi için hukuki dayanağı ve kaynağı gösteren bir alan — nereden geldi ve neden işliyorsunuz.
- Ticari iletişim onayının, tarih ve kanalla birlikte kaydı.
- Her çalışan yalnızca ihtiyaç duyduğu veriyi görsün diye roller ve yetkiler.
- Değişiklik günlüğü: bir kaydı kimin ve ne zaman değiştirdiği.
- İstek üzerine yapılandırılmış formatta dışa aktarma ve silme.
- Bir saklama politikası — kişiler “her ihtimale karşı” süresiz tutulmaz.
Yaptırımların en sık nedenleri
Veri koruma otoritelerinin denetimlerinde en sık görülen gerekçeler, asgari BT güvenlik önlemlerinin bulunmaması ve uygun olmayan rızadır — önceden işaretlenmiş, paketlenmiş ya da geri alınamayan rıza.
GDPR kapsamında ağır ihlallerde idari para cezası 20 milyon avroya veya yıllık küresel cironun %4'üne kadar çıkabilir. GDPR'da ihlal bildirim süresi 72 saattir; KVKK kapsamında da ihlali ilgili otoriteye bildirme yükümlülüğü vardır, güncel süre ve usulü mevzuattan doğrulayın.
Sık yapılan hatalar
- Verinin nereden geldiğini kanıtlayamayacağınız satın alınmış bir listeyi içe aktarmak.
- Müşteri listesini iş arkadaşları arasında e-postayla ya da WhatsApp'la dolaştırmak.
- “İşleri basit tutmak için” her kullanıcıya tam erişim vermek.
- CRM sağlayıcısıyla ve veriye dokunan diğer tedarikçilerle imzalı DPA olmaması.
- Bir kişiyi silip yerel dışa aktarımlardaki kopyalarını silmemek.
4softcrm nasıl yardımcı olur?
- Hukuki dayanak, kaynak ve onay, her kişide yapılandırılmış veri olarak kaydedilir.
- Ayrıntılı roller ve izinler ile her kayıt için değişiklik günlüğü.
- İstek üzerine dışa aktarma ve silme; veriler Avrupa Birliği'nde barındırılır.