6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 2016’dan beri yürürlükte ama KOBİ’lerin büyük çoğunluğu hâlâ “biz küçüğüz, gelmez bize” diye düşünüyor. Gerçek: VERBİS kaydı 50.000 TL’den başlayan idari para cezalarıKişisel Verileri Koruma Kurulu’nun (KVKK) gündeminde, kobi/orta-büyük ayrımı yok. Bu rehber Türkiye’deki bir KOBİ’nin KVKK kapsamında müşteri verisini nasıl yönetmesi gerektiğini sade biçimde anlatır.

Temel Kavramlar — 5 Dakikada KVKK

  • Veri sorumlusu: Kişisel verilerin hangi amaçla, nasıl işleneceğini belirleyen kişi/şirket. KOBİ’de genellikle şirket kendisi.
  • Veri işleyen: Veri sorumlusu adına veri işleyen üçüncü taraf (örn. OvoCRM, mail servisleri, muhasebe yazılımı). Sözleşme imzalanır.
  • Açık rıza: Belirli bir konuda bilgilendirilmiş onay. Müşteri tek tıkla geri alabilir.
  • Aydınlatma: Veriyi nasıl işlediğinizi anlatma yükümlülüğü (web sitesi metni, sözleşme).
  • İmha: Saklama süresi dolan veri silinmeli veya anonimleştirilmeli.

KOBİ’nin KVKK Yükümlülükleri — Checklist

  1. VERBİS kaydı (yıllık ciro 100M TL üstü veya 50+ çalışan ise zorunlu — küçükler için tavsiye edilir)
  2. Aydınlatma metni web sitesinde + sözleşmelerde
  3. Açık rıza metni ticari elektronik ileti için ayrı, görsel/işitsel için ayrı
  4. Müşteri talepleri için bir kanal (e-mail, form) — 30 gün içinde cevap zorunlu
  5. Saklama ve imha politikası dokümanı
  6. Veri ihlali durum prosedürü — 72 saat içinde Kuruma bildirim
  7. Personel eğitimi kayıtları
  8. Veri işleyen sözleşmeleri (OvoCRM, e-mail servisi, muhasebe yazılımı vb.)

Müşteri Veri Kaynakları — Nereden Toplanır?

Bir KOBİ müşteri verisini en az 8 yerden toplar:

  • Telefon kaydı (CRM)
  • E-mail yazışmaları
  • WhatsApp mesajları
  • Fatura/sipariş kayıtları
  • Web sitesi formları
  • Pazaryeri (Trendyol vb.)
  • Mobil uygulama
  • Kargo bilgileri

Her kanal için amacın net belirlenmesi ve saklama süresinin tanımlanması gerekir.

Müşteri Hakları — 5 Temel Talep

KVKK m.11’e göre her birey size 5 ana talepten birini gönderebilir:

  1. Hangi verim işleniyor? (öğrenme hakkı)
  2. Yanlış veriyi düzelt (düzeltme hakkı)
  3. Verimi sil (silme/unutulma hakkı — saklama süresi bittiyse şart)
  4. Verimi aktar (taşınabilirlik hakkı — yapılandırılmış format)
  5. Otomatik karar sistemine itiraz (örn. otomatik kredi reddi)

30 gün içinde cevap zorunlu, vermezseniz Kurula şikayet edilir.

OvoCRM’in KVKK Uyumu İçin Sunduğu Araçlar

Tam KVKK uyumu için CRM’inizin teknik altyapı sağlaması şart. OvoCRM’de yerleşik olarak:

1. Veri Sahibi Başvuru Modülü

Tek bir cari karta tıkladığınızda “KVKK Talep Aç” butonu görürsünüz. Müşteriden gelen talebi (silme, düzeltme, dışa aktarma) sisteme kaydedersiniz, 30 gün sayacı otomatik başlar.

2. Otomatik Veri Dışa Aktarma

Müşteri “hangi verim var” diye sorunca tek tık ile JSON/PDF formatında tüm verisi dışa aktarılır: fatura geçmişi, e-mail kayıtları, audit log’da geçen tüm operasyonlar.

3. Anonimleştirme

“Verimi sil” talebi gelince — VUK’a göre 5 yıl saklama yükümlülüğümüz var. Çelişki çözüm: anonimleştirme. İsim soyisim “Müşteri-12345”, telefon “***” olur ama fatura kayıtları matematik bütünlüğünü korur.

4. Açık Rıza Yönetimi

Her müşteri için ayrı izinler kayıtlı: E-mail izni, WhatsApp izni, pazarlama izni. Müşteri istediği zaman tek tıkla geri alır, sistem otomatik o kanalı kapatır.

5. Audit Log

Tüm CRUD operasyonları (kim, ne zaman, hangi alan değiştirdi) audit log’a düşer. Kurum denetiminde “müşteri verisini kim değiştirdi” sorusuna cevap hazır.

6. Veri İhlali Bildirimi

Yetkisiz erişim tespit edilirse otomatik uyarı, ihlal dökümanı hazır şablonu, 72 saat sayacı sistem üzerinde tutulur.

Veri İşleyen Sözleşmesi — Çok Önemli

Veri işleyen sözleşmesi (KVKK m.12) imzalamayan KOBİ’ler riskte.OvoCRM gibi bir bulut yazılımı kullanıyorsanız sağlayıcıyla sözleşme imzalamanız şart. OvoCRM tüm tenant’lar için hazır bir veri işleyen sözleşmesi sunar — Sistem Ayarları > KVKK Sözleşmesi’nden indirip imzalayabilirsiniz.

Sıkça Yapılan 7 Hata

  1. VERBİS kaydı yapmamak — “biz küçüğüz” düşüncesi
  2. Aydınlatma metni olmaması — web sitesi formları KVKK uyumsuz
  3. WhatsApp grup kullanımı — toplu mesaj için ayrı açık rıza şart
  4. Personel eğitimi vermemek — KVKK’dan habersiz çalışanlar risk
  5. Eski müşteri verisini hâlâ tutmak — saklama süresi dolduğunda silinmeli
  6. Yedekleri sınırsız tutmak — yedek de veridir, silinmesi gerekir
  7. Anonim demeden basit maskeleme — “Mehmet ***” anonim DEĞİL, sözlük saldırısıyla geri alınır

Sonuç

KVKK’nın amacı KOBİ’leri zorlamak değil, müşterinin güvenini sürdürülebilir kılmak. KVKK uyumu = müşteri güveni = sürdürülebilir gelir. Doğru altyapıyı kurarsanız bürokrasi değil, marka güveni katmanı olur.

OvoCRM’in KVKK araçları varsayılan olarak açık. Sözleşme örneklerine bakmak için satış ekibimizle görüşebilirsiniz veya 17 gün ücretsiz denemeyle kendi verinizle test edebilirsiniz.