Sesli görüşmeyi kayda almak, yazışmayı kayda almaktan hukuki olarak daha hassastır. Yazışmada müşteri ne yazdığını bilir ve kaydın kendisi zaten metindir. Sesli görüşmede ise kayıt, kişinin sesini içerir; bu ses hem içeriğiyle hem kendisiyle kişisel veridir.
WhatsApp aramaları bu tabloya ikinci bir katman ekliyor: Meta'nın platform politikaları. Yani iki ayrı kural setine birden uymanız gerekiyor. Bu yazıda ikisini yan yana koyuyoruz.
Not: Bu yazı uygulama rehberidir, hukuki görüş değildir. Kurumsal kurulum öncesi kendi hukuk danışmanınızla teyit etmeniz gerekir; sektör ve veri türüne göre ek yükümlülükler doğabilir.
Meta tarafı: platform ne istiyor
Meta'nın işletme mesajlaşması ve arama politikaları, kullanıcıyı istenmeyen iletişimden korumak üzerine kurulu. Genel çerçeve şu ilkeler etrafında şekilleniyor:
- Giden arama izne dayanır. İşletmenin kullanıcıyı arayabilmesi için kullanıcının bunu kabul etmiş olması beklenir. Rastgele numara arama serbestliği yoktur.
- Kullanıcı kanalı kapatabilir. Engelleme ve iletişimi durdurma kullanıcının elindedir ve bu tercih kalıcıdır.
- İstenmeyen iletişim yaptırıma tabidir. Şikayet oranı yükselen numaralarda kalite puanı düşer, mesaj ve arama kapasitesi kısıtlanabilir.
- Politikalar güncellenir. İzin gereksinimleri, arama başlatma koşulları ve ülke bazlı kullanılabilirlik değişebilir; kurulum öncesi Meta'nın güncel dokümantasyonu kontrol edilmelidir.
Buradaki pratik sonuç şu: Meta'nın kuralları sizi zaten KVKK'nın istediği yere yakın bir yere getiriyor. İzinsiz arama yapmayan, çıkış yolunu açık tutan bir kurgu iki tarafı birden karşılar.
KVKK tarafı: neyi hangi dayanakla işliyorsunuz
Ses kaydı kişisel veridir. Kaydı tutmak, saklamak, dökümünü çıkarmak ve analiz etmek işleme faaliyetidir; her birinin hukuki dayanağı olmalıdır.
Aydınlatma yükümlülüğü. Kayıt alınıyorsa, kişinin bunu görüşmenin başında öğrenmesi gerekir. Sesli görüşmede bunun yolu karşılama cümlesidir. "Görüşmemiz kalite amacıyla kaydediliyor" cümlesi asgari düzeydir; aydınlatma metninize erişim yolunu da belirtmek daha güvenlidir.
Hukuki dayanak. Her kayıt için açık rıza almak zorunlu değildir; sözleşmenin kurulması veya ifası, meşru menfaat gibi dayanaklar duruma göre uygulanabilir. Ancak dayanağı kurulum sırasında belirlemek, sonradan sormaktan çok daha kolaydır. Pazarlama amaçlı arama ve kayıt söz konusuysa açık rıza pratikte kaçınılmaz hale gelir.
Veri minimizasyonu. Amaç için gerekmeyen veriyi toplamayın. Ajanın görüşme sırasında kimlik numarası, kart bilgisi veya sağlık verisi istemesi gerekiyor mu? Gerekmiyorsa istemesin; gerekiyorsa bu alanların özel korumaya tabi olduğunu unutmayın.
Saklama süresi. Süresiz saklama savunulabilir değildir. Kayıt türüne göre süre belirleyin, süreyi yazılı hale getirin ve süresi geçen kayıtların otomatik silinmesini kurun. Silme işini manuel bırakan işletmelerde bu hiç yapılmaz.
Erişim yetkisi. Kayıtlara kim erişebilir? Rol bazlı yetkilendirme burada teknik bir tercih değil, uyum gereğidir. Tüm ekibin tüm kayıtları dinleyebildiği bir kurulum, ihlal olduğunda savunulamaz.
Yurt dışına aktarım. Ses kaydı ve dökümü hangi ülkede işleniyor ve saklanıyor? Yurt dışına aktarım varsa Kanun'un aktarım rejimine uymanız gerekir. Verilerin Türkiye'de barındırılması bu kalemi büyük ölçüde sadeleştirir.
Ses verisinin niteliği. Sesin içeriği kişisel veridir. Ses izinin kimlik doğrulama amacıyla kullanılması söz konusuysa — yani sesle kimlik tanıma — bu biyometrik veri tartışmasını açar ve özel nitelikli veri rejimi gündeme gelir. Böyle bir kullanımınız yoksa bu yükü hiç almamak en temizi.
İki tarafı birleştiren kurulum kontrol listesi
Aşağıdaki liste tamamlandığında hem Meta politikası hem KVKK açısından savunulabilir bir kurulumunuz olur:
- Karşılama cümlesinde kayıt bildirimi var.
- Ajan, insan olmadığını baştan söylüyor.
- Aydınlatma metni sesli görüşme ve kayıt konusunu kapsıyor.
- Her kayıt türü için saklama süresi tanımlı ve otomatik silme çalışıyor.
- Kayıtlara erişim rol bazlı sınırlı ve erişim logu tutuluyor.
- Giden arama izni kayıt üzerinde görünüyor: ne zaman, hangi kanaldan alındı.
- "Aranmak istemiyorum" tercihi tek adımda işlenebiliyor ve kalıcı.
- Deneme sayısı ve arama saat aralığı sınırlı.
- Verilerin nerede işlendiği ve saklandığı belgelenmiş.
- Görüşme dökümünde hassas veri maskeleme kuralı var.
- Ajanın toplamayacağı veri türleri tanımlı.
- Veri sorumlusu ve varsa veri işleyen ilişkisi sözleşmeyle kurulmuş.
Sık yapılan üç hata
Kayıt bildirimini görüşmenin sonuna koymak. Bildirim işlevini kaybeder; kişi zaten konuşmuştur.
Rıza ile meşru menfaati karıştırmak. İkisi farklı dayanaklardır ve farklı sonuçlar üretir. Rızaya dayandırdığınız bir işlemede kişi rızasını geri çekebilir ve o noktada işlemeyi durdurmanız gerekir. Dayanağı en başta doğru seçmek, sonradan düzeltmekten kolaydır.
Dökümü kayıttan ayrı düşünmek. Ses kaydını silip dökümünü tutmak, kişisel veriyi sildiğiniz anlamına gelmez. Saklama ve silme politikanız her ikisini birden kapsamalıdır.
Uyum bir yük değil, satış argümanı
Kurumsal alıcı sesli ajan değerlendirirken hukuk ve bilgi güvenliği ekiplerini masaya getirir. O masada en çok sorulan sorular kayıt nerede duruyor, kim erişiyor, ne zaman siliniyor sorularıdır. Bu soruların cevabını hazır veren tedarikçi, cevabı sonradan arayan tedarikçiden aylar önde başlar.
Bizim tarafta verilerin barındırıldığı yer ve güvenlik yaklaşımını teknoloji sayfasında inceleyebilir, sesli ajanın çalışma biçimini AI çağrı merkezi sayfasında görebilirsiniz.