CRM'de Kişisel Veri Saklama Süresi: Kapanmayan Fırsatlar Ne Zaman Silinmeli?

Satış Ekiplerinin Unuttuğu Arşiv

Müşteri ilişkileri yönetimi (CRM) sistemleri satış ekiplerinin hafızasıdır: kimle görüşüldüğü, hangi teklifin verildiği, hangi fırsatın neden kaybedildiği orada durur. Sorun, bu hafızanın çoğu şirkette hiç silinmemesidir. Beş yıl önce bir fuarda kartvizit bırakmış, hiç müşteri olmamış bir kişinin adı, telefonu ve görüşme notları bugün hâlâ sistemde olabilir.

CRM veri saklama süresi, bu birikimi kontrol altına almanın aracıdır. Bu rehberde CRM'deki veri türlerini ve amaçlarını, müşteri, aday ve kaybedilen fırsat için süre belirleme yöntemini, otomatik silme ve anonimleştirme kurallarını, rol bazlı erişimi ve entegrasyonlarla oluşan kopyaları adım adım ele alıyor; sonunda kendi tablonuza uyarlayabileceğiniz örnek bir saklama tablosu paylaşıyoruz.

CRM'deki Veri Türleri ve Amaçları

Saklama süresi bir sisteme değil, bir veri kategorisine ve amaca bağlanır. KVKK'nın 4. maddesi kişisel verilerin “işlendikleri amaç için gerekli olan süre kadar” muhafaza edilmesini, 7. maddesi ise işlenmesini gerektiren sebepler ortadan kalkınca silinmesini, yok edilmesini veya anonim hale getirilmesini öngörür. Bu nedenle ilk iş, CRM'de hangi kişisel verinin hangi amaçla tutulduğunu ayırmaktır.

Aday verisinin nereden ve nasıl toplandığı, saklama süresini de etkiler. Profesyonel ağlardan toplanan verinin amaçla sınırlılığını LinkedIn veri toplama ve KVKK yazımızda ele almıştık; orada toplanan veri, CRM'de de aynı amaçla sınırlı kalır.

CRM'de Tutulan Başlıca Veri Kategorileri

Müşteri, Aday ve Kaybedilen Fırsat için Süre Belirleme

Süre belirlerken iki soruyu sırayla sorun: Bu kaydı saklamamı gerektiren bir kanun hükmü var mı? Yoksa, amacım için bu kayda ne kadar süre gerçekten ihtiyaç duyuyorum?

Aktif ve eski müşteriler: Müşteri ilişkisi sürdükçe yetkili kişi verilerinin saklanması sözleşmenin ifası için gereklidir. İlişki bittikten sonra ise süreyi çoğu zaman diğer kanunlar belirler. Örneğin 6102 sayılı Türk Ticaret Kanunu'nun 82. maddesi ticari defter ve belgeler için on yıllık, 213 sayılı Vergi Usul Kanunu'nun 253. maddesi beş yıllık saklama öngörür; 6098 sayılı Türk Borçlar Kanunu'nun 146. maddesi ise kanunda aksine hüküm yoksa her alacak için on yıllık zamanaşımı süresini düzenler. Ancak bu süreler faturalar, sözleşmeler ve muhasebe kayıtları için geçerlidir; CRM'deki serbest görüşme notları ve e-posta yazışmalarının tamamını aynı süreyle saklamayı otomatik olarak haklı kılmaz. İspat için gerekli belge ile satış ekibinin çalışma notu ayrı değerlendirilmelidir.

Adaylar: Hiç müşteriye dönüşmemiş bir adayın verisi için kanuni bir saklama yükümlülüğü genellikle bulunmaz. Saklamanın dayanağı satış amacıdır ve bu amaç sınırsız değildir. Belirli bir süre boyunca hiçbir etkileşim olmayan aday kaydı için şirket içi bir üst sınır (ör. son anlamlı temastan itibaren 12 veya 24 ay) belirlemek ve gerekçesini yazmak, savunulabilir bir yaklaşımdır. Bu süre kanundan gelen bir süre değildir; şirketin kendi değerlendirmesidir.

Kaybedilen fırsatlar: Kaybedilen fırsat kaydı, satış ekibine “bu firmayla daha önce görüştük” bilgisini verdiği için değerlidir. Ancak bu bilgi için kişilerin iletişim verilerine ve ayrıntılı görüşme notlarına uzun süre ihtiyaç yoktur. Fırsatın kendisi (firma, tarih, ürün, kayıp nedeni) korunurken kişisel veriler belirli bir süre sonra silinebilir ya da anonim hale getirilebilir. Böylece hem raporlama sürer hem de kişisel veri gereksiz yere tutulmaz.

Otomatik Silme ve Anonimleştirme Kuralları

Süre yazmak yetmez; süre dolunca bir şey olması gerekir. CRM'lerin çoğu iş akışı (workflow) veya zamanlanmış görevlerle bu işi otomatikleştirmeye izin verir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, veri sorumlusunun saklama ve imha politikasında belirlediği periyodik imha aralığının altı ayı geçemeyeceğini öngörür. Bu kural, saklama ve imha politikası hazırlamakla yükümlü veri sorumluları içindir; ancak diğer şirketler için de iyi bir ölçüdür.

Tetikleyiciyi belirleyin: Süre neyden itibaren işler? Son anlamlı temas, fırsatın kapanış tarihi ya da sözleşmenin sona ermesi gibi açık bir alan seçin.

İşlemi seçin: Kayıt tamamen mi silinecek, yoksa kişisel alanlar boşaltılıp kayıt istatistik için mi korunacak? Yönetmeliğe göre anonim hale getirme, verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesidir; yalnızca adı silmek bu ölçütü karşılamayabilir.

Ekleri unutmayın: Kayda bağlı dosyalar, e-posta ekleri ve notlar da aynı işlemden geçmelidir.

Kayıt tutun: Hangi kaydın hangi tarihte, hangi kurala göre silindiğini gösteren bir işlem kaydı oluşturun.

Silme talebini ayrı ele alın: Kurul'un 06.07.2021 tarihli ve 2021/670 sayılı karar özetinde, ilgili kişinin silme talebinin bir sonraki periyodik imha dönemine bırakılamayacağı; Yönetmelik uyarınca en geç otuz gün içinde sonuçlandırılması gerektiği vurgulanmıştır.

Erişim Yetkilerinin Rol Bazlı Ayarlanması

Saklama süresi kadar önemli bir soru, kaydı kimin görebildiğidir. KVKK'nın 12. maddesindeki teknik ve idari tedbir yükümlülüğü, her çalışanın yalnızca işi için gereken veriye erişmesini gerektirir. CRM'de rol bazlı erişim için pratik bir başlangıç şöyle olabilir:

Satış temsilcisi yalnızca kendi bölgesindeki ya da kendisine atanmış hesapları ve fırsatları görür.

Toplu dışa aktarma (Excel, CSV) yetkisi yalnızca satış operasyonları veya CRM yöneticisinde bulunur ve her dışa aktarma kayıt altına alınır.

Görüşme notları ve iletişim geçmişi, raporlama kullanıcılarına kapalı tutulur; raporlar toplulaştırılmış veriyle hazırlanır.

İşten ayrılan kullanıcının hesabı aynı gün kapatılır, kayıtları başka bir temsilciye devredilir.

CRM'in kendi erişim kayıtları da kişisel veri içerir ve ayrı bir saklama süresi gerektirir. Bu konuyu log kayıtları ve KVKK yazımızda ayrıntılı ele aldık.

CRM Entegrasyonlarında Veri Kopyaları

CRM'den bir kaydı silmek, verinin şirketten silindiği anlamına gelmez. Modern satış altyapısında aynı kişi verisi çoğu zaman birkaç sistemde birden bulunur:

Saklama kuralını CRM'de kurduktan sonra, silme işleminin bu entegrasyonlara da yayılıp yayılmadığını test edin. Ticari ileti izinlerinin İleti Yönetim Sistemi (İYS) ile nasıl yönetildiğini İYS izni yazımızda anlattık.

Verinin Kopyalandığı Başlıca Yerler

Örnek Saklama Tablosu

Tablodaki süreleri belirledikten sonra bunları kişisel veri saklama ve imha politikanıza ve veri envanterinize işleyin. CRM'de uygulanan kural ile politikada yazan süre birbirini tutmalıdır.

Bu tablo bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Örnek CRM Saklama Tablosu

Aşağıdaki tablo bir başlangıç noktasıdır. Süreler kvkkrehberi.com tarafından örnek olarak önerilmiştir; kanundan gelen süreler ayrıca belirtilmiştir. Kendi sektörünüze ve sözleşmelerinize göre uyarlayın.

Sonuç ve Sonraki Adım

CRM veri saklama süresi tek bir rakamla çözülmez; müşteri, aday, kaybedilen fırsat ve izin kayıtları farklı amaçlara hizmet eder ve farklı sürelerle yönetilmelidir. Kanundan gelen süreler sözleşme ve muhasebe belgeleri için geçerlidir; geri kalan kayıtlarda süreyi amaç belirler ve bu süre yazılı, gerekçeli ve otomatik uygulanır olmalıdır. Rol bazlı erişim ve entegrasyon kopyalarının kontrolü bu çalışmanın ayrılmaz parçasıdır.

İlk adım olarak CRM'deki kayıt türlerini çıkarıp yukarıdaki tabloya yerleştirin ve en eski aday kayıtlarının tarihine bakın. Sürecin bütününe destek gerekiyorsa KVKK danışmanlığı hizmetimizin kapsamını inceleyebilirsiniz.

Sık Sorulan Sorular