WhatsApp Business Üzerinden Toplanan Müşteri Verileri KVKK Bakımından Nasıl Yönetilmeli?

WhatsApp Business üzerinden müşterinin telefon numarası, adı, teslimat adresi, sipariş içeriği ve yazışmaları işlendiğinde KVKK bakımından kişisel veri faaliyeti doğabilir. İşletmenin “müşteri bana kendisi yazdı” demesi veri koruma yükümlülüklerini ortadan kaldırmaz.

Her veri için açık rıza mı gerekir?

Hayır. KVKK’da açık rıza dışında da kişisel veri işleme şartları bulunur. Örneğin siparişin kurulması ve yerine getirilmesi için gerekli bazı veriler sözleşme ilişkisi kapsamında işlenebilir. Ancak hangi verinin hangi hukuki sebebe dayandığı somut süreçte belirlenmelidir.

Aydınlatma yükümlülüğü ayrıdır

KVKK m.10 kapsamında veri sorumlusu; kimliğini, verinin hangi amaçla işlendiğini, kimlere hangi amaçla aktarılabileceğini, toplama yöntemi ve hukuki sebebi ile ilgili kişinin haklarını açıklamalıdır. Kişisel Verileri Koruma Kurumu, aydınlatmanın açık rızadan bağımsız bir yükümlülük olduğunu özellikle vurgulamaktadır.

Gereksiz veriyi toplamayın ve uzun süre tutmayın

Sipariş için gerekli olmayan kimlik, sağlık veya başka hassas bilgilerin alışkanlıkla istenmesi risk yaratır. Yazışmaların ne kadar süre saklanacağı, kimlerin erişebileceği, cihazın kaybolması hâlinde ne olacağı ve çalışanların yetkileri bir veri güvenliği planına bağlanmalıdır.

Pazarlama mesajları ayrı konu

Bir müşterinin sipariş için WhatsApp numarasını vermesi, o numaraya sınırsız reklam ve kampanya mesajı gönderilebileceği anlamına gelmez. Ticari elektronik ileti mevzuatı ve KVKK’daki işleme amacı birlikte değerlendirilmelidir.

Aktarım ve platform kullanımı

WhatsApp gibi üçüncü taraf hizmetlerde verinin kimlerle ve hangi altyapı üzerinden paylaşıldığı, gerektiğinde yurt dışına aktarım boyutu ve güncel KVKK aktarım kuralları ayrıca kontrol edilmelidir. İşletme yalnız uygulamanın varsayılan ayarlarına güvenmemelidir.

WhatsApp Business Kullanmak KVKK Yükümlülüklerini Kaldırmaz

Müşteri adı, telefon numarası, sipariş bilgisi ve yazışmalar kişisel veri niteliği taşıyabilir. İşletme veriyi hangi amaç ve hukuki sebeple işlediğini belirlemeli, müşteriye gerekli aydınlatmayı yapmalı ve veriyi gereksiz süreyle saklamamalıdır. Uygulamanın kolaylığı sınırsız müşteri arşivi tutma hakkı vermez.

Çalışan Erişimi ve Yedekleme Kontrol Edilmelidir

Ortak kullanılan telefonlar, web oturumları ve bulut yedekleri müşteri verilerine kimlerin eriştiğini genişletebilir. İşten ayrılan çalışanın erişiminin kapatılması, cihaz güvenliği, yetki sınırları ve yedekleme ayarları düzenli kontrol edilmelidir. Yurt dışına veri aktarımı doğurabilecek hizmetler bakımından güncel KVKK aktarım kuralları ayrıca değerlendirilmelidir.