İçindekiler · 9 bölüm
Bir WhatsApp chatbotu kurduğun an kişisel veri işlemeye başlarsın. Müşterinin telefon numarası, adı, siparişi, adresi, bazen de "dişim ağrıyor" gibi bir sağlık bilgisi sohbetin içinde gelir. Bot bu mesajı okur, bir yapay zekâ modeline gönderir, bir yere kaydeder. Bunların hepsi 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) konusu.
Bu yazı chatbot kurmadan önce netleştirmen gereken altı konuyu sırayla anlatıyor. Hukuki danışmanlık değil; amacı, avukatınla ya da veri sorumlusu ekibinle konuşurken doğru soruları sorabilmen.
Kurmadan önce 6 konu
- 1Konu 1
Aydınlatma
Müşteri, verisinin kim tarafından, neden işlendiğini ilk mesajda öğrenmeli.
- 2Konu 2
Hukuki sebep ve izin
Sipariş için sözleşme yeter; pazarlama mesajı için ayrı izin gerekir.
- 3Konu 3
Yurt dışına aktarım
WhatsApp ve yapay zekâ modeli çoğu zaman yurt dışında; 9. madde devreye girer.
- 4Konu 4
Hassas veri
Sağlık, kimlik numarası, kart numarası: botun istememesi gereken bilgiler.
- 5Konu 5
Saklama ve silme
Konuşma kayıtları ne kadar tutulacak, kim silecek?
- 6Konu 6
İnsana devir
Meta'nın kuralı: müşteri hızlı ve net bir şekilde insana ulaşabilmeli.
1. Aydınlatma: müşteri ilk mesajda bilgilendirilmeli
KVKK'nın 10. maddesi, kişisel veriler elde edilirken veri sorumlusunun kişiyi bilgilendirmesini istiyor: kimin veri sorumlusu olduğu, verinin hangi amaçla işleneceği, kime ve hangi amaçla aktarılabileceği, verinin hangi yöntemle ve hangi hukuki sebeple toplandığı ve kişinin hakları.
Chatbotta bunun en pratik yolu, botun ilk mesajında kısa bir cümle ve aydınlatma metninin bağlantısı:
Merhaba, ben X İşletmesi'nin dijital asistanıyım. Mesajlarınız talebinizi yanıtlamak için işlenir. Ayrıntılı bilgi: siteadin.com/kvkk
Meta'nın WhatsApp Business mesajlaşma politikası da kişisel verileri işlemek için gerekli bildirim, izin ve onayları almayı ve yayımlanmış bir gizlilik politikası bulundurmayı şart koşuyor. Yani sitende güncel bir gizlilik ve aydınlatma metni yoksa, bu iş chatbottan önce gelir.
2. Hukuki sebep: her işlemin bir dayanağı olmalı
KVKK'nın 5. maddesi kişisel veriyi ancak belirli sebeplerle işlemeye izin veriyor. Chatbot açısından en sık karşılaşılan iki durum:
| Müşterinin talebini yanıtlamak | Sonradan pazarlama mesajı atmak | |
|---|---|---|
| Örnek | Sipariş almak, randevu oluşturmak, soru cevaplamak | Kampanya, indirim, yeni ürün duyurusu |
| Olası hukuki sebep | Çoğunlukla sözleşmenin kurulması ya da ifası | Ayrı ve açık izin |
| Meta'nın kuralı | Müşteri yazdıktan sonraki 24 saatlik pencerede cevap | Mesajdan önce açık izin (opt-in) |
| Aydınlatma | Zorunlu | Zorunlu |
| Çıkış hakkı | — | Müşteri istediği an çıkabilmeli |
Meta'nın politikası, işletmenin yalnızca numarasını paylaşmış ve sonraki mesajları almayı kabul etmiş kişilere yazabileceğini söylüyor. Aynı politika, kişinin WhatsApp içinde ya da dışında yaptığı her durdurma, engelleme ve çıkma talebine uyulmasını şart koşuyor. Müşteri bir kez "bana yazmayın" dediyse bot da, ekip de ona pazarlama mesajı gönderemez.
3. Yurt dışına aktarım: en çok atlanan konu
Bir WhatsApp chatbotunda müşterinin mesajı çoğu zaman en az iki yere gider: Meta'nın sunucularına (WhatsApp'ın kendisi) ve cevabı üreten yapay zekâ modelinin sağlayıcısına. Bu sağlayıcıların sunucuları büyük olasılıkla Türkiye dışında. Bu durumda KVKK'nın yurt dışına aktarımı düzenleyen 9. maddesi devreye girer.
- madde, 7499 sayılı Kanun'la değişti ve yeni hali 1 Haziran 2024'te yürürlüğe girdi. Yeni düzende aktarım üç yoldan biriyle yapılabiliyor:
| Yol | Ne demek |
|---|---|
| Yeterlilik kararı | Kurul'un bir ülke ya da sektör için verdiği karar. |
| Uygun güvence | En yaygını Kurul'un ilan ettiği standart sözleşme. İmzalandıktan sonra 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilmesi gerekiyor. |
| Arızi aktarım | Açık rıza gibi istisnai durumlar; düzenli ve sürekli aktarım için tasarlanmamış. |
Kurum, standart sözleşme bildirimleri için 2024 sonunda bir bildirim modülü açtı. Hangi yolun senin durumuna uyduğunu, sağlayıcının sözleşme seçeneklerine bakarak hukukçunla belirle.
- 1Müşteri yazarMesaj WhatsApp üzerinden Meta'nın altyapısına gelir.
- 2Chatbot platformu alırPlatformun sunucusu nerede? Türkiye mi, yurt dışı mı?
- 3Yapay zekâ modeline giderCevabı üretmek için mesaj model sağlayıcısına gönderilir.
- 4Kayıt tutulurKonuşma geçmişi platformda, CRM'de ya da tabloda saklanır.
Bu yolculuğun her durağı için iki soru sor: veri nerede tutuluyor ve ne kadar tutuluyor? Bu iki sorunun cevabı aydınlatma metnine de yazılmalı.
4. Hassas veri: botun istememesi gerekenler
KVKK'nın 6. maddesi bazı verileri özel nitelikli sayıyor ve daha sıkı kurallara bağlıyor: sağlık, biyometrik ve genetik veri, din, mezhep, siyasi düşünce, sendika üyeliği, ceza mahkûmiyeti gibi. Bir klinik, eczane ya da diyetisyen chatbotu bu alana çok kolay girer.
Meta'nın politikası da ayrı bir sınır koyuyor: işletmeler kişilerden tam kart numarası, finansal hesap numarası, kimlik kartı numarası gibi hassas tanımlayıcıları paylaşmalarını isteyemez.
5. Saklama ve silme
KVKK'nın 4. maddesi, verilerin işlendikleri amaç için gerekli olan süre kadar saklanmasını istiyor. Chatbot konuşmaları ise kolayca sonsuza kadar birikir: platformda, yapay zekâ sağlayıcısının kayıtlarında, CRM'de, bir tabloda.
Kurmadan önce şunları yazıya dök:
- Konuşma kayıtları kaç gün ya da ay saklanacak?
- Süre dolunca kim siler, otomatik mi?
- Yapay zekâ sağlayıcısı mesajları kendi tarafında saklıyor mu, modelini eğitmek için kullanıyor mu? Kapatılabiliyor mu?
- Müşteri "verilerimi silin" derse bunu hangi sistemlerden sileceksin?
KVKK'nın 12. maddesi ayrıca verilerin güvenliği için uygun teknik ve idari tedbirlerin alınmasını istiyor: kimin hangi konuşmayı görebildiği, panele kimlerin girebildiği, şifre ve erişim yönetimi.
6. İnsana devir
Bu doğrudan KVKK'nın değil, Meta'nın kuralı, ama müşteri güveni açısından en az KVKK kadar önemli. Meta'nın politikası, otomasyon kullanan işletmelerin hızlı, açık ve doğrudan bir insana ulaşma yolu sunmasını istiyor: sohbet içinde temsilciye aktarma, telefon, e-posta, destek formu gibi.
Hangi soruların botta kalıp hangilerinin insana gitmesi gerektiğini chatbot rehberinde, bot ile canlı destek dengesini de chatbot mu canlı destek mi yazısında anlattım.
Chatbotum KVKK açısından hazır mı?
0/7Yedi maddeyi kendi kurulumunla karşılaştır; işaretlemediğin her madde hukukçuna soracağın bir soru.
DijiKoçum'da nasıl çalışıyoruz?
AI Asistan hizmetimizde botu kurmadan önce bu altı konuyu bir kontrol listesiyle seninle birlikte geçiyoruz: ilk mesajdaki aydınlatma cümlesi, botun hangi bilgileri istemeyeceği, insana devir kuralları ve konuşmaların nerede ne kadar tutulacağı. Hukuki metinlerin son halini senin hukukçunla birlikte netleştiriyoruz; hukuki danışmanlık vermiyoruz.
Sık sorulan sorular
Chatbot için müşteriden açık rıza almak zorunda mıyım?
Her durumda değil. Müşterinin kendi talebini (sipariş, randevu, soru) yanıtlamak için veri işliyorsan KVKK'daki başka bir hukuki sebebe, örneğin sözleşmenin kurulması ya da ifasına dayanabilirsin. Ama aydınlatma her durumda zorunlu; pazarlama mesajları için de ayrı izin gerekir. Hangi sebebin sana uyduğunu hukukçunla belirle.
WhatsApp'ı kullanmak zaten yurt dışına aktarım sayılır mı?
Mesajlar Meta'nın altyapısından geçiyor ve chatbot çoğu zaman yurt dışındaki bir yapay zekâ sağlayıcısına bağlanıyor. Bu yüzden aktarım konusu çoğu kurulumda gündeme gelir. Hangi verinin hangi sağlayıcıya gittiğini çıkarıp KVKK'nın 9. maddesindeki yollardan hangisine dayandığını belirlemen gerekir.
Chatbot konuşmalarını yapay zekâ modelini eğitmek için kullanabilir miyim?
Bu, konuşmanın asıl amacından farklı bir amaç. Aydınlatma metninde yazmıyorsa ve bir hukuki sebebi yoksa yapmamalısın. Kullandığın yapay zekâ sağlayıcısının da müşteri mesajlarını kendi modelini eğitmek için kullanıp kullanmadığını kontrol et.
Müşteri sohbette kendiliğinden sağlık bilgisi yazarsa ne olur?
Bunu engelleyemezsin, ama botun bu bilgiyi istememesini ve gereğinden fazla işlememesini sağlayabilirsin. Bot böyle bir mesajda konuyu tekrarlamadan insana devredebilir; kayıtların saklama süresi de buna göre kısa tutulabilir.
VERBİS kaydı gerekiyor mu?
Bu, chatbottan bağımsız olarak işletmenin çalışan sayısı, mali bilançosu ve faaliyet alanına göre belirleniyor. Kurul'un istisna kararlarına göre kayıt yükümlülüğünün sana düşüp düşmediğini kontrol et; kaydın varsa chatbot ile işlenen veriyi de envantere ekle.