Kaynağı belirsiz aday müşteri listeleri
Kartvizit, tanıdık tavsiyesi veya internetten toplanan yetkili bilgileriyle oluşan listelerin hukuki sebebi çoğu kurumda tanımlı değildir.
Departman · Departmana Özel KVKK Çözümü
Satış Departmanına Özel KVKK Çözümleri
Satışta veri, sistemden çok insanın yanında dolaşır: temsilcinin telefonundaki rehber, dizüstündeki Excel, ajandasındaki notlar. Uyumun asıl konusu CRM ekranı değil, verinin ekranın dışına çıktığı yerdir.
Kısa cevap
Satış departmanında KVKK uyumu iki farklı katmanda kurulur. Birinci katman CRM'dir: her kaydın hukuki sebebi, saklama süresi ve erişim yetkisi tanımlı olmalıdır. İkinci ve çoğu kurumda ihmal edilen katman ise sistem dışına taşan veridir — temsilcinin kişisel telefonundaki müşteri rehberi, kendi e-postasına attığı liste, masaüstündeki teklif dosyaları. Bir satış temsilcisi işten ayrıldığında bu veri kurumla birlikte kalmıyorsa, orada hem bir güvenlik ihlali hem de bir ticari sır kaybı vardır. Uyum programı bu nedenle kişi bazlı erişim ve çıkış prosedürü kurmadan tamamlanmış sayılmaz.
Satışta KVKK Neden Ayrı Yönetilmeli?
Satış ekibinin işi ilişki kurmaktır; bu ilişki de kayıt üretir. Fuardan dönen kartvizit destesi, bir tanıdıktan alınan yetkili telefonu, görüşme sonrası tutulan kişisel notlar hızla birikir ve çoğu zaman hiçbir envantere girmez. Buna bir de temsilci devir teslimlerinde yaşanan veri kaçağı eklenir. Kurul'a taşınan uyuşmazlıkların bir kısmı, kişinin hiç tanımadığı bir şirketten arama alması ve verinin nereden geldiğini öğrenememesiyle başlar.
Temsilcinin kişisel cihazındaki veri
Müşteri rehberi, mesajlaşma geçmişi ve teklif dosyaları kişisel telefon ve bilgisayarda tutulduğunda kurum kontrolü fiilen ortadan kalkar.
Sınırsız CRM erişimi
Tüm satış ekibinin tüm müşteri portföyünü görebildiği kurgular, veri minimizasyonu ve yetki ilkesiyle bağdaşmaz.
Bilgilendirilmemiş görüşme kayıtları
Kalite veya eğitim amaçlı alınan telefon ve toplantı kayıtlarında karşı tarafa kaydın varlığı ve amacı bildirilmelidir.
Ayrılan temsilcinin veri götürmesi
Çıkış anında hesap kapatma, cihaz teslimi ve rehber temizliği yapılmazsa müşteri verisi kurumu terk eder; bu bir veri ihlalidir.
Kapanmamış fırsatların süresiz saklanması
Yıllar önce kaybedilen fırsatların iletişim kayıtları hâlâ aktif portföyde duruyorsa saklama süresi tanımlanmamış demektir.
Satış Departmanında İşlenen Kişisel Veriler
Aşağıdaki kırılım, portföy yönetimi ve satış süreçlerinden doğan veri kategorilerini gösterir. Her kalem için erişim yetkisi ve saklama süresi ayrıca belirlenir.
Aday ve potansiyel müşteri verisi
Ad soyad, unvan, kurum, iş telefonu, e-posta, kartvizit görüntüleri, fuar ve etkinlik listeleri
Hukuki sebep ve not: Meşru menfaat değerlendirmesi yapılır; kaynağı ve ilk temas tarihi kayda geçirilir.
CRM ilişki kayıtları
Görüşme notları, ziyaret raporları, aktivite geçmişi, fırsat aşamaları, kişisel tercih notları
Hukuki sebep ve not: Serbest metin alanları gereksiz ve öznel bilgi barındırmamalı; not disiplini eğitimle kurulur.
Sözleşme ve teklif dosyaları
Teklifler, imza sirküleri, yetkili kimlik bilgileri, vergi ve ticaret sicil kayıtları, sözleşme nüshaları
Hukuki sebep ve not: Sözleşmenin kurulması ve ifası ile hukuki yükümlülük; mali mevzuat saklama süreleri geçerlidir.
Görüşme ve iletişim kayıtları
Telefon kayıtları, çevrim içi toplantı kayıtları ve transkriptler, e-posta yazışmaları, mesajlaşma geçmişi
Hukuki sebep ve not: Kayıt öncesi bilgilendirme zorunludur; saklama süresi amaçla sınırlı tutulur.
Satış temsilcisi verisi
Hedef ve prim kayıtları, ziyaret rotaları, araç takip ve konum verisi, performans değerlendirmeleri
Hukuki sebep ve not: Çalışan izlemesi ölçülülük testine tabidir; mesai dışı konum takibi ayrıca sorunludur.
Ödeme ve risk verisi
Banka hesap bilgileri, çek ve senet kayıtları, ödeme geçmişi, borç ve risk notları
Hukuki sebep ve not: Kişinin ekonomik durumuna ilişkin veriler dar erişimle korunur; paylaşımı sınırlandırılır.
Çözüm Kapsamı
Program CRM'i düzene sokar, veriyi kişisel cihazlardan kurumsal kontrole taşır ve temsilci giriş-çıkışını prosedüre bağlar.
CRM yetki ve alan düzeni
Portföy bazlı erişim kurulur, gereksiz alanlar kapatılır, serbest not alanları için yazım kuralı tanımlanır.
Aday liste kaynak analizi
Mevcut listeler kaynağına göre ayrıştırılır; meşru menfaat testi yapılır, dayanaksız kayıtlar imha edilir.
Cihaz ve kanal disiplini
Kişisel telefon ve mesajlaşma uygulamalarının kullanımı kurallara bağlanır; kurumsal alternatif devreye alınır.
Kayıt ve bilgilendirme akışı
Telefon ve toplantı kayıtları için anons metni, saklama süresi ve erişim yetkisi tanımlanır.
İşe alım ve çıkış prosedürü
Temsilci çıkışında hesap kapatma, cihaz teslimi, rehber ve dosya temizliği adım adım yazılı hâle getirilir.
Saha ekibi eğitimi
Temsilcilere kendi günlük örnekleriyle kısa ve uygulanabilir bir farkındalık eğitimi verilir.
Sahada En Sık Karşılaştığımız Tablo
- Müşteri portföyünün tamamı bütün satış ekibine açık durumda.
- Temsilciler müşterileriyle kişisel telefonlarından mesajlaşma uygulamasıyla görüşüyor.
- Teklif dosyaları kişisel bulut hesaplarında ve masaüstlerinde tutuluyor.
- Ayrılan temsilcinin CRM hesabı aylar sonra hâlâ açık.
- Görüşme kayıtları alınıyor ama karşı tarafa hiçbir bilgilendirme yapılmıyor.
- Beş yıl önce kaybedilen fırsatların iletişim kayıtları hâlâ aktif listede.
Uygulama Süreci
Birim keşfi ve kapsam
CRM yapısı, liste kaynakları, kullanılan cihaz ve kanallar ile temsilci giriş-çıkış akışı birlikte incelenerek satış veri haritası çıkarılır.
Süreç ve veri envanteri kesiti
Birimin yürüttüğü her faaliyet; veri kategorisi, hukuki sebep, saklama süresi, erişim yetkisi ve aktarım kırılımıyla kurumsal envantere işlenir.
Boşluk analizi ve önceliklendirme
Mevcut uygulama mevzuatla karşılaştırılır; bulgular ihlal olasılığı ve etkisine göre sıralanır, birim yöneticisiyle sahibi atanır.
Belge ve akış devreye alma
Aydınlatma metni, rıza akışı, sözleşme maddeleri, yetki matrisi ve prosedürler birimin günlük iş akışına gömülerek uygulamaya alınır.
Rol bazlı eğitim ve sürdürme
Birime kendi örnekleriyle eğitim verilir; periyodik gözden geçirme, yeni araç onayı ve değişiklik bildirimi takvimi devredilir.
Teslim Edilecek Çıktılar
- Departmanın veri işleme envanteri kesiti ve veri akış haritası
- Birime özel saklama ve imha süreleri tablosu
- Rol bazlı erişim yetki matrisi ve yetki gözden geçirme takvimi
- Departmanın kullandığı tedarikçiler için veri işleyen sözleşme seti
- İlgili kişi başvurusu geldiğinde birimin izleyeceği yanıt akışı
- Birime özel KVKK farkındalık eğitimi ve hızlı başvuru kartı
- CRM erişim yetki matrisi ve alan bazlı kullanım kuralları
- Aday müşteri listeleri için meşru menfaat değerlendirme raporu
- Müşteri ve muhatap aydınlatma metni ile görüşme kaydı anons metni
- Satış temsilcisi cihaz ve kanal kullanım talimatı
- Temsilci çıkış (offboarding) veri teslim kontrol listesi
Kimler İçin Uygun?
Kurumsal satış ekipleri
Uzun satış döngüsünde yoğun görüşme kaydı ve teklif dosyası üreten B2B birimler.
Saha satış ve bayi ekipleri
Mobil cihazla çalışan, konum ve ziyaret verisi üreten dağınık yapılar.
İç satış ve çağrı ekipleri
Telefonla arama yapan, kayıt alan ve liste üzerinden çalışan birimler.
Satış operasyon yöneticileri
CRM'i yöneten, raporlayan ve yetkilendirme kararlarını veren roller.
İlgili Hizmetler
Bu departman programı, aşağıdaki danışmanlık hizmetlerinin birime uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Departmanlar
Aynı veri akışını paylaşan ya da bu birimin süreçlerine komşu olan departmanların uyum sayfaları.
Sık Sorulan Sorular
Kartvizitini size veren kişi, iş amaçlı iletişim kurulmasını beklediği ölçüde bu kaydın meşru menfaate dayandırılması savunulabilir. Ancak bu, sınırsız bir yetki değildir: kaydın kaynağı ve tarihi yazılmalı, ilk temasta aydınlatma yapılmalı ve kişi itiraz ettiğinde kayıt derhâl kaldırılmalıdır. Kritik ayrım şudur: iş görüşmesi için iletişim kurmak ile aynı kişiyi pazarlama listesine ekleyip toplu ileti göndermek farklı işlemlerdir; ikincisi ayrıca ticari elektronik ileti onayı gerektirir. Kartvizitin verilmiş olması bu onayı sağlamaz.
Kendi başına yasak değildir, ancak yönetilmediğinde ciddi risk doğurur. Kişisel cihazdaki müşteri rehberi, mesaj geçmişi ve fotoğraflar üzerinde kurumun teknik kontrolü yoktur; cihaz kaybolduğunda, satıldığında veya temsilci ayrıldığında veri kurumun elinden çıkar. Uygulanabilir çözüm, kurumsal hat veya kurumsal mesajlaşma çözümü sağlamak, kişisel cihaz kullanılacaksa yazılı bir kullanım talimatı ile asgari güvenlik şartlarını (ekran kilidi, şifreleme, uzaktan silme) zorunlu kılmaktır. Bu kuralların yazılı olmaması, ihlal anında kurumun savunmasını da ortadan kaldırır.
Kaydedebilirsiniz, ancak gizli kayıt yapılamaz. Görüşmenin başında kaydın alındığı, hangi amaçla alındığı ve ne kadar süreyle saklanacağı bildirilmelidir. Kalite ve eğitim amacı meşru kabul edilebilir; buna karşılık kaydın tüm ekibe açık olması, süresiz saklanması veya farklı amaçlarla kullanılması ölçüsüzdür. Çevrim içi toplantı kayıtları ve otomatik transkriptler için de aynı kurallar geçerlidir; üstelik transkript üreten araç bir veri işleyendir ve sözleşmeye bağlanmalıdır.
Evet. Kurumun veri sorumlusu sıfatıyla tuttuğu müşteri kayıtlarının, yetkisiz biçimde kopyalanıp kurum dışına çıkarılması bir kişisel veri güvenliği ihlalidir ve şartları oluştuğunda Kurul'a ve ilgili kişilere bildirim yükümlülüğü doğurabilir. Ayrıca ticari sır ve haksız rekabet boyutu da vardır. Bu riski önlemenin yolu, çıkış anında uygulanan yazılı bir prosedürdür: hesapların aynı gün kapatılması, cihazların teslim alınması, kurumsal buluttaki kişisel klasörlerin devri, kişisel cihazdaki kurumsal verinin silinmesi ve bunun tutanakla kayıt altına alınması.
Kişisel verilere erişim, işin gerektirdiği ölçüyle sınırlı olmalıdır. Bir temsilcinin kendi portföyü dışındaki müşterilerin iletişim bilgilerini, ödeme geçmişini ve görüşme notlarını görmesinin işlevsel bir gerekçesi yoksa bu erişim veri minimizasyonu ilkesine aykırıdır. Pratikte de en büyük sızıntı riski buradan doğar: toplu dışa aktarma yetkisi olan her kullanıcı potansiyel bir ihlal noktasıdır. Doğru kurgu, portföy veya bölge bazlı görünürlük, dışa aktarma yetkisinin sınırlı sayıda kişide olması ve dışa aktarma işlemlerinin loglanmasıdır.
Süre amaca göre belirlenir. Kapanmamış veya kaybedilmiş bir fırsatın iletişim kaydını, makul bir yeniden temas dönemi boyunca saklamak savunulabilir; bu süre sektöre ve satış döngüsüne göre değişir ve politikada yazılı olmalıdır. Sürenin sonunda kayıt ya imha edilmeli ya da kişiye yeniden temas edilerek güncel bir dayanak oluşturulmalıdır. Buna karşılık kurulmuş bir sözleşmeye ilişkin kayıtlar farklıdır: mali ve ticari mevzuatın öngördüğü saklama süreleri boyunca tutulur, ancak bu süre içinde de erişim yalnızca ilgili birimlere açık olmalıdır.
Müşteri verinizin kurumda kalmasını sağlayalım
CRM yapınızı, temsilci cihaz kullanımınızı ve çıkış sürecinizi paylaşın; ücretsiz ön görüşmede en kritik veri kaçağı noktalarını birlikte tespit edelim.
