Not: Bu rehber genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Kendi süreçleriniz için bir hukuk danışmanından destek almanızı öneririz.

Destek talepleri, bir şirketin sahip olduğu en zengin kişisel veri kaynaklarından biridir. Bir ticket’ta müşterinin adı, e-posta adresi ve telefonu yanında sipariş numarası, adres, ekran görüntüsü, hatta bazen sağlık veya finansal bilgi bulunabilir. Üstelik bu veriler çoğu zaman planlı bir şekilde değil, müşterinin kendi yazdıklarıyla kendiliğinden toplanır. Bu rehberde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde destek verisini nasıl yöneteceğinizi pratik adımlarla anlatıyoruz.

Önce roller: veri sorumlusu ve veri işleyen

KVKK’da iki temel rol vardır. Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen taraftır. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen taraftır.

Bir helpdesk yazılımı kullandığınızda, müşterilerinizin destek verisi açısından genellikle siz veri sorumlusu, yazılım sağlayıcısı ise veri işleyen konumundadır. Bu ayrım önemlidir: aydınlatma yükümlülüğü, hukuki sebebin belirlenmesi ve veri sahibi başvurularını yanıtlamak sizin sorumluluğunuzdadır. Sağlayıcınızın ise sizin talimatlarınız doğrultusunda veriyi işlemesi ve güvenliğini sağlaması beklenir. Bu ilişkiyi yazılı bir veri işleme sözleşmesiyle düzenlemeniz tavsiye edilir.

Hangi hukuki sebebe dayanıyorsunuz?

KVKK’nın 5. maddesi, kişisel verilerin açık rıza olmaksızın işlenebileceği hâlleri sayar. Destek süreçlerinde en sık kullanılanlar şunlardır:

  • Sözleşmenin kurulması veya ifası (md. 5/2-c): Ürün veya hizmetinizi kullanan bir müşterinin destek talebini yanıtlamak, çoğu durumda aranızdaki sözleşmenin ifasının parçasıdır.
  • Hukuki yükümlülük (md. 5/2-ç): Örneğin tüketici şikâyetlerine ilişkin kayıtların mevzuat gereği saklanması.
  • Meşru menfaat (md. 5/2-f): Hizmet kalitesini ölçmek, kötüye kullanımı önlemek gibi amaçlar; ancak veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla.

Açık rıza, diğer hukuki sebeplerin bulunmadığı durumlar için ayrılmalıdır. Destek talebinin yanıtlanmasını açık rızaya bağlamak hem gereksizdir hem de rızanın “özgür irade” unsurunu tartışmalı hâle getirir. Buna karşılık destek verisini pazarlama amacıyla kullanmak istiyorsanız ayrı bir hukuki değerlendirme yapmanız gerekir.

Aydınlatma: talep formunda ne yazmalı?

Kanunun 10. maddesi uyarınca kişisel veriler elde edilirken veri sahibinin aydınlatılması gerekir. Pratikte bu, destek formunun yanında veya altında aydınlatma metninize açık bir bağlantı vermek demektir. Aydınlatma metni en az şunları içermelidir:

  • Veri sorumlusunun kimliği ve iletişim bilgileri,
  • Verilerin hangi amaçla işlendiği,
  • Verilerin kimlere ve hangi amaçla aktarılabileceği (barındırma sağlayıcısı, destek yazılımı sağlayıcısı dahil),
  • Veri toplamanın yöntemi ve hukuki sebebi,
  • Veri sahibinin 11. maddedeki hakları.

Aydınlatma, onay kutusu işaretletmekle aynı şey değildir. Onay kutusu kullanacaksanız metnin “okudum, anladım” niteliğinde bir bilgilendirme teyidi olduğunu, açık rıza olmadığını netleştirin.

Veri minimizasyonu: yalnızca gerekeni toplayın

Kanunun 4. maddesindeki genel ilkeler, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını gerektirir. Destek süreçlerinde bu ilkeyi uygulamanın yolları:

  • Talep formunda yalnızca sorunu çözmek için gereken alanları isteyin. Doğum tarihi veya T.C. kimlik numarası gibi alanlar çoğu destek talebi için gereksizdir.
  • Kullanıcıları şifre, kart numarası veya sağlık bilgisi paylaşmamaları konusunda formda uyarın.
  • Kullanıcının kendi uygulamanızdaki hesabıyla tanınmasını sağlayın (SSO); böylece kimlik bilgilerini destek sisteminde ayrıca toplamanız gerekmez.
  • Ekran görüntülerinde gereksiz kişisel veri görünüyorsa ekibinizi bunları maskelemeye veya silmeye teşvik edin.

Özel nitelikli veriler

Sağlık, biyometrik veri, din, sendika üyeliği gibi veriler KVKK’nın 6. maddesinde özel nitelikli kişisel veri olarak sayılır ve daha sıkı koşullara tabidir. Sağlık, sigorta veya insan kaynakları gibi alanlarda hizmet veriyorsanız destek taleplerinde bu tür verilerin geçme ihtimali yüksektir. Bu durumda erişimi daha dar tutmanız, ek güvenlik tedbirleri almanız ve hukuki sebebi ayrıca değerlendirmeniz gerekir.

Erişim yetkisi ve kayıt

Kanunun 12. maddesi, veri sorumlusunun uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almasını ister. Destek ekipleri için en etkili tedbirler şunlardır:

  • Rol tabanlı erişim: Personel yalnızca sorumlu olduğu ürünün veya müşterinin taleplerini görmeli.
  • Dahili not ayrımı: Ekip içi yazışmalar müşteriye görünmemeli, ama yetkisiz personele de açık olmamalı.
  • Etkinlik kaydı: Kritik işlemlerin (silme, yetki değişikliği, dışa aktarma) kim tarafından ne zaman yapıldığı kayıt altına alınmalı.
  • Ayrılan personel: İşten ayrılan kişinin erişimi aynı gün kapatılmalı.
  • API anahtarları: Anahtarlar kapsamla sınırlandırılmalı ve düzenli olarak yenilenmeli.

DeskRon’da rol ve yetki yönetimi, uygulama bazlı personel erişimi ve etkinlik kaydı bu tedbirleri günlük işleyişin parçası hâline getirmek için tasarlandı.

Saklama süresi ve imha

Kişisel veriler, işlendikleri amaç için gerekli olan süre kadar saklanabilir. Destek talepleri için tek bir “doğru” süre yoktur; sözleşme ilişkisinin süresi, zamanaşımı süreleri ve sektörel mevzuat birlikte değerlendirilir. Önerimiz:

  1. Destek verisi için bir saklama süresi belirleyin ve kişisel veri saklama ve imha politikanıza yazın.
  2. Süresi dolan talepleri silin veya anonim hâle getirin; istatistik amaçlı sayılar anonim veriyle de üretilebilir.
  3. Yedeklerin de bu süreye tabi olduğunu unutmayın.
  4. İmha işlemlerini periyodik olarak yapın ve kaydını tutun.

Yurt dışına aktarım

Kullandığınız destek yazılımı verileri yurt dışındaki sunucularda barındırıyorsa bu bir yurt dışına aktarımdır. KVKK’nın 9. maddesi, 2024 yılında yapılan değişiklikle yeniden düzenlenmiştir. Buna göre aktarım; yeterlilik kararı bulunan ülkelere, yeterlilik kararı yoksa standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerden biriyle, bunlar da yoksa yalnızca kanunda sayılan arızi hâllerde yapılabilir. Standart sözleşmenin imzalanmasından sonra belirli süre içinde Kurum’a bildirilmesi gerekir.

Sağlayıcı seçerken verilerin hangi ülkede barındırıldığını, alt işleyenlerin kimler olduğunu ve yurt dışı aktarım için hangi mekanizmanın kullanıldığını yazılı olarak sorun. DeskRon’un barındırma ve aktarım bilgileri KVKK aydınlatma metnimizde yer alır.

Veri sahibi başvuruları

Kanunun 11. maddesi, veri sahibine verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme ve itiraz gibi haklar tanır. Başvurular en geç 30 gün içinde sonuçlandırılmalıdır. Destek ekibi bu başvuruların ilk karşılandığı yer olduğu için:

  • KVKK başvurularını tanıyacak ve doğru kişiye yönlendirecek bir süreç tanımlayın.
  • Başvuruları ayrı bir kategori veya etiketle işaretleyip süresini takip edin.
  • Başvuranın kimliğini doğrulamadan veri paylaşmayın.
  • Silme talebinde destek geçmişinin de kapsama girdiğini unutmayın; yasal saklama yükümlülüğü varsa bunu gerekçesiyle bildirin.

Veri ihlali durumunda

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu en kısa sürede (Kurul kararına göre 72 saat içinde) Kurul’a ve ilgili kişilere bildirmekle yükümlüdür. Destek sağlayıcınızla yaptığınız sözleşmede, sağlayıcının bir ihlali size ne kadar sürede bildireceğini de düzenleyin.

Kısa kontrol listesi

  • Destek verisi için veri sorumlusu / veri işleyen rolleri belirlendi, sözleşmesi yapıldı.
  • Talep formunda aydınlatma metnine bağlantı var.
  • Formda yalnızca gerekli alanlar isteniyor, hassas veri paylaşmama uyarısı var.
  • Personel erişimi ürün ve rol bazında sınırlandırıldı.
  • Saklama süresi belirlendi ve imha periyodik olarak yapılıyor.
  • Yurt dışı aktarım varsa uygun mekanizma belirlendi.
  • Veri sahibi başvuruları için 30 günlük süre takip ediliyor.