repliso
Bir müşterinin adı, sosyal medya kullanıcı adı, telefon numarası ve sipariş sorusu kişisel veri olabilir. Konuşmayı ortak bir gelen kutusuna taşımak ya da bir yanıtın taslağını yapay zekâya hazırlatmak, bu verinin kişisel veri olmasını ortadan kaldırmaz.
Almanya’da müşteri mesajları ve GDPR (Genel Veri Koruma Tüzüğü) konusuna, neyi topladığınızı, neden ihtiyaç duyduğunuzu, nereye gittiğini ve kimin erişebildiğini gösteren net bir haritayla başlayın. Belirli bir mesajlaşma platformunun her iş akışını kendiliğinden uyumlu hâle getirdiği sözüyle başlamayın.
Amacı ve hukuki dayanağı belirleyin
GDPR, işlemeye yalnızca altı hukuki dayanaktan birine göre izin verir: rıza, sözleşme, hukuki yükümlülük, kamu yararı, hayati menfaatler veya meşru menfaatler. Küçük bir mağaza için genellikle sözleşme (satın almadan önce bir soruyu yanıtlamak ya da bir siparişi yerine getirmek), rıza (örneğin bir bülten için) ve meşru menfaatler (örneğin dolandırıcılığı önlemek) söz konusudur; her biri yalnızca gerçekten uyduğu yerde. Sözleşmenin ihtiyaç duymadığı veriler sözleşmenin şartı olarak istenemez.
Destek, analiz ve pazarlama dahil her faaliyet için amacı ve hukuki dayanağı yazılı hâle getirin. Rıza özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirilerek verilmelidir; geri çekilmesi verilmesi kadar kolay olmalıdır ve rızayı kanıtlayabilmeniz gerekir. Hassas veriler (sağlık, din, siyasi görüş ve benzerleri) için ek koşullar vardır ve ihtiyacınız yoksa bunları toplamamalısınız: bir giyim siparişi için müşterinin dini gerekmez. Müşteriler hassas bilgileri kendiliğinden gönderirse, yardım etmek için gerekenle sınırlı kalın ve bu bilgileri başkasına iletmeyin. Kaynak: Avrupa Komisyonu, işlemenin hukuki dayanakları.
İnsanlara bilgilerine ne olduğunu söyleyin
Gizlilik bilgilendirmeniz; kimin sorumlu olduğunu ve size nasıl ulaşılacağını, verileri neden ve hangi hukuki dayanakla işlediğinizi, ne kadar süre sakladığınızı, kimlerin aldığını ve kişilerin hangi haklara sahip olduğunu, bir veri koruma otoritesine şikâyet hakkı dahil, belirtmelidir. Kısa, şeffaf ve sade bir dille yazılmış olmalıdır. Gerçekten kullandığınız gelen kutusu ve yapay zekâ sağlayıcılarıyla, AB dışına aktarımlar dahil, uyumlu olmalıdır.
Verileri doğrudan kişiden topladığınızda, örneğin size yazdığı için, bilgilendirme toplama anında yapılmalıdır; kişide bu bilgi zaten yoksa. Veriler başka bir kaynaktan geliyorsa bir ay içinde, ilk temasta ya da verileri ilk kez paylaştığınızda bilgi verin. Bilgilendirmeye müşterinin izlediği yol üzerinden kolayca ulaşılabilsin; örneğin profilinizde ve web sitenizde bir bağlantıyla. Kaynak: Avrupa Komisyonu, yükümlülükler.
Daha az toplayın ve bir nedenle saklayın
Yalnızca sorunu çözmek için gereken bilgileri isteyin. Pasaport taramasının aşırı olacağı yerde bir sipariş numarası yeterli olabilir. Sıradan sosyal medya sohbetleri üzerinden kart numarası toplamayın.
Saklama sürelerini amaca göre belirleyin. Yasal saklama yükümlülüğü olan sipariş kayıtları ile sıradan bir beden sorusu farklı şekilde ele alınabilir. “Her sohbeti sonsuza kadar sakla” işe yarar bir kural değildir. Aynı şekilde, yasal bir yükümlülük bazı kayıtların kalmasını gerektiriyorsa her şeyin hemen silineceği sözünü vermeyin. Kaynak: Avrupa Komisyonu, GDPR ilkeleri.
Sağlayıcıları ve erişimi kontrol edin
Müşteri mesajlarını sizin adınıza işleyen bir sağlayıcı, örneğin bir gelen kutusu aracı, bir barındırma şirketi ya da bir yapay zekâ hizmeti, genellikle veri işleyendir. Bu durumda onu talimatlarınıza ve güvenlik önlemlerine bağlayan yazılı bir veri işleme sözleşmesine (GDPR madde 28) ihtiyacınız vardır. Almanya Federal Veri Koruma Yetkilisi (BfDI), karşılaştırma yapabileceğiniz örnek bir sözleşme yayımlar. Alt işleyenlere ve hizmet sona erdiğinde verilere ne olacağına bakın. Bir sağlayıcının pazarlama açıklaması, imzalanmış bir veri işleme sözleşmesiyle aynı şey değildir. Kaynak: BfDI veri işleme sözleşmesi örneği.
Çalışanların erişimini işlerinin gerektirdiğiyle sınırlayın. Destekleniyorsa kişisel hesaplar kullanın, biri ayrıldığında erişimleri gözden geçirin ve erişim, düzeltme ya da silme taleplerinin sorumlu bir kişiye nasıl ulaşacağını planlayın.
Sunucu konumunun ötesine bakın
“AB’de barındırılıyor” etiketi tek başına tüm aktarım sorularını çözmez. AEA dışından erişimi, destek sağlayıcılarını ve sonraki aktarımları kontrol edin. Veriler AEA dışındaki bir ülkeye yalnızca geçerli bir dayanakla gönderilebilir: Avrupa Komisyonu’nun bir yeterlilik kararı (ve hâlâ yürürlükte olduğunu kontrol etmeniz gerekir) ya da varış ülkesinin yasalarına ilişkin belgelenmiş bir değerlendirme ve gerekirse ek güvenceler ile birlikte standart sözleşme maddeleri. Açık rıza gibi istisnalar son çare olarak düşünülmüştür. Kaynak: EDPB, uluslararası aktarımlar.
Desteği reklamdan ayrı tutun
Gelen bir müşteri sorusu, tanıtım amaçlı takip mesajları için genel bir izin değildir. Alman rekabet hukuku, alıcının önceden açık rızası olmadan e-posta ile yapılan reklamı makul olmayan bir rahatsızlık sayar (§ 7(2) no. 2 UWG). Mevcut müşteriler için dar bir istisna vardır ve dört koşulun hepsini gerektirir: adresi bir satışla bağlantılı olarak almışsınızdır, yalnızca kendi benzer ürünlerinizin reklamını yaparsınız, müşteri itiraz etmemiştir ve adresi alırken ve her kullanımda müşteriye istediği zaman itiraz edebileceğini açıkça söylemişsinizdir (§ 7(3) UWG). Her kanal için güvenli bir çalışma kuralı: tanıtım göndermeden önce açık izin isteyin. WhatsApp’ın kendi politikası da kişilerin onay vermiş olmasını (opt-in) şart koşar. Kaynak: § 7 UWG.
Bir şeyler ters giderse
Müşteri verileri kaybolursa, sızarsa ya da yanlış kişi tarafından erişilirse ve bu durumun kişileri riske atması muhtemelse, farkına vardıktan sonraki 72 saat içinde veri koruma otoritenize bildirimde bulunmalı ve risk yüksekse etkilenen kişileri bilgilendirmelisiniz. Bir veri işleyen her ihlali size bildirmek zorundadır. Bunu kimin yapacağına önceden karar verin. Kaynak: Avrupa Komisyonu, yükümlülükler.
Kendi kurulumunuzu kontrol edin
Herhangi bir araca güvenmeden önce bu listeyi gözden geçirin: hangi müşteri verilerini neden topladığınız, her kullanımın hukuki dayanağı, müşterilerin görebileceği gizlilik bilgilendirmesi, sağlayıcılarınızın kimler olduğu ve her biriyle bir veri işleme sözleşmeniz olup olmadığı, verilerin AB dışında nereye gittiği, ne kadar süre sakladığınız, bir erişim ya da silme talebinin size nasıl ulaştığı ve bir ihlal durumunda ne yaptığınız.
repliso’nun verileri nasıl işlediği gizlilik politikasında anlatılır; repliso’yu kullanan işletmeler bir veri işleme sözleşmesi talep edebilir. Hassas vakalar için insana devir kurallarını kullanın.
Bu yazı hakkında
Bu, yukarıda bağlantısı verilen resmî kaynaklara dayanan ve 13 Ekim 2026’da kontrol edilen genel bir bilgilendirmedir. Kendi durumunuza özel bir tavsiye değildir ve kurallar değişir: AB yasa koyucuları Ekim 2026’da GDPR’de yapılacak değişiklikleri (“Digital Omnibus” paketi) hâlâ müzakere ediyordu; bu yüzden sizin için önemli olan kuralların güncel metnini kontrol edin. İyi hizmet de özenli gizlilik uygulaması da net bir sorumlu ve net bir amaçla başlar.
