Müşteri Hizmetlerinde KVKK: Müşteri Verisi Nasıl Korunur?

Müşteri hizmetlerinde KVKK'ya uygun çalışmanın özü birkaç alışkanlığa dayanır: her temsilciye yalnızca işi için gereken veriyi gösterin, gerekmeyeni (örneğin tam telefon numarasını) gizleyin, ses kayıtlarını ve yazışmaları yalnızca gerektiği kadar saklayın, kimin neye eriştiğini kaydedin, silme taleplerini belirli bir süreçle yanıtlayın, girişleri iki adımlı doğrulamayla koruyun ve her şirketin verisini ayrı tutun. Bu alışkanlıklar, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) ölçülülük, amaçla sınırlılık ve veri güvenliği gibi ilkeleriyle doğrudan örtüşür. Bu yazı iyi uygulamaları anlatır; hukuki danışmanlık değildir.

Müşteri hizmetleri neden ayrı bir özen ister?

Destek ve çağrı merkezi ekipleri şirketin en çok kişisel veri gören birimlerinden biridir: ad soyad, telefon numarası, e-posta, adres, sipariş geçmişi, ses kayıtları, sohbet dökümleri, bazen de kart ya da kimlik bilgisi. Bu veri aynı anda telefon, canlı sohbet, e-posta ve WhatsApp gibi birçok kanaldan akar; yeni başlayanlar ve dış kaynak ekipler dahil pek çok kişi tarafından görülür; kopyalanması, ekran görüntüsünün alınması ya da dışa aktarılması kolaydır.

KVKK'nın genel ilkeleri; kişisel verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmasını ve yalnızca gerekli olan süre kadar saklanmasını ister. Kanun ayrıca veri sorumlusundan, verinin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almasını bekler. Kişisel Verileri Koruma Kurumu'nun teknik ve idari tedbirlere ilişkin rehberi de yetki matrisi, erişim kayıtlarının tutulması ve kullanıcı hesaplarının yönetimi gibi başlıklara yer verir. Müşteri hizmetlerinde bu beklentiler aşağıdaki uygulamalara dönüşür.

1. Rol bazlı yetki ve en az yetki ilkesi

Kişilerden değil rollerden başlayın: temsilci, takım lideri, süpervizör, yönetici. Her role işini yapmasına yetecek en az yetkiyi verin. Sohbetlere yanıt veren bir temsilcinin müşteri listesini dışa aktarması, başka temsilcilerin görüşmelerini dinlemesi ya da ayarları değiştirmesi çoğu zaman gerekmez.

Rolün kullanmadığı kolon ve alanları listelerde gizleyin. Görev değiştiğinde ya da biri işten ayrıldığında yetkileri hemen gözden geçirin; ayrılan çalışanın hesabını kapatmayı işe alım süreci kadar ciddiye alın.

2. Rol karmaşası olmadan kişiye özel yetki

Gerçek ekiplerde istisnalar olur: kıdemli bir temsilci üst seviye şikâyetleri yönetir, yeni başlayan biri daha az görmelidir. Her istisna için yeni rol açmak kısa sürede yönetilemez hâle gelir. Daha iyi yöntem, rolü varsayılan kabul edip kişiye özel izinleri bunun üzerine eklemek ya da çıkarmaktır.

İki güvence önemlidir: kimse kendi yetkisini değiştirememeli ve kimse kendinde olmayan bir yetkiyi başkasına verememelidir. Aksi hâlde yetki yükseltme kapısı açık kalır.

3. Müşteri telefon numaralarını maskeleyin

Birçok iş akışında, özellikle giden aramalarda, temsilcinin tam numarayı görmesi gerekmez: arama müşteri kaydı üzerinden sistem tarafından başlatılabilir. Maskeleme; numaraların kopyalanması, kötüye kullanılması ya da işten ayrılan biriyle birlikte şirketten çıkması riskini azaltır.

Maskeleme ancak sunucuda yapılırsa işe yarar. Numara tarayıcıya gönderilip yalnızca ekranda gizleniyorsa, geliştirici araçlarını açan herkes onu okuyabilir. Maskeli kullanıcılarda numarayla arama, filtreleme ve sıralama da kapatılmalıdır; yoksa maske dolaylı yoldan aşılabilir.

4. Ses kayıtları için saklama süresi belirleyin

Arayan kişiyi görüşmenin kaydedildiği ve hangi amaçla kaydedildiği konusunda aydınlatın; bu, KVKK'daki aydınlatma yükümlülüğünün bir parçasıdır. Ardından kayıtların bu amaç için (kalite değerlendirmesi, uyuşmazlık takibi ya da yasal bir yükümlülük) ne kadar süre gerektiğine karar verin ve süre dolunca kayıtları otomatik olarak silin.

Raporlama için çağrının kendisine ait bilgiler (tarih, süre, sonuç) çoğu zaman kalabilir; ses dosyası silinir. Kayıt dinlemek ayrı bir yetki gerektirmeli ve her erişim günlüğe yazılmalıdır. Aynı yaklaşımı sohbet dökümlerine ve eklerine de uygulayın.

Silme, yok etme ve anonim hâle getirmeye ilişkin yönetmelik kapsamında saklama ve imha politikası hazırlama yükümlülüğü olan şirketler, bu süreleri politikalarına da yazmalıdır.

5. Denetim kaydı tutun

Denetim kaydı "kim, neyi, ne zaman yaptı?" sorusunu yanıtlar: girişler ve başarısız giriş denemeleri, yetki değişiklikleri, dışa aktarmalar, ayar değişiklikleri ve hassas kayıtlara erişim. Kayıtların kendisi de korunmalıdır: şifre ve anahtar gibi gizli alanlar maskelenmeli, kayıtları yalnızca yetkili kişiler okuyabilmelidir. Kayıtları yalnızca bir olaydan sonra değil, düzenli olarak inceleyin.

6. Bilgi ve silme taleplerini yönetin

KVKK, ilgili kişiye kendisiyle ilgili veri işlenip işlenmediğini öğrenme, bilgi talep etme ve şartları oluştuğunda verilerinin silinmesini ya da yok edilmesini isteme gibi haklar tanır. Veri sorumlusu bu başvuruları en geç otuz gün içinde sonuçlandırmalıdır. Bunu güvenilir biçimde yapmak için:

• Müşteri verisinin nerelerde durduğunu bilin: CRM, destek talepleri, sohbetler, ses kayıtları, e-posta ve tablolar.
• İşlem yapmadan önce başvuranın kimliğini doğrulayın.
• Faturalar gibi bazı verileri yasal olarak saklamanız gerekip gerekmediğini kontrol edin.
• Raporların doğru kalması için kaydın tamamını silmek yerine kişisel alanları silmeyi ya da anonimleştirmeyi tercih edin.
• Her başvurunun nasıl sonuçlandırıldığını belgeleyin.

7. İki adımlı doğrulamayı açın

Temsilci hesapları oltalama saldırılarının ve tekrar kullanılan şifrelerin sık hedefidir. Bir doğrulama uygulamasıyla (TOTP) çalışan iki adımlı doğrulama, çalınan şifrenin tek başına yetmemesini sağlar. Yedek kodlar verin, telefonunu kaybeden kullanıcı için net bir süreç belirleyin ve kullanıcıların açık oturumlarını görüp diğer cihazlardan çıkış yapabilmesini sağlayın.

8. Her şirketin verisini ayırın

Birden fazla markaya ya da müşteriye hizmet veriyorsanız, örneğin dış kaynak çağrı merkezi ya da yazılım sağlayıcısıysanız, ayrım kritiktir. Tüm müşteriler aynı tabloları paylaştığında yalıtım, her sorgunun doğru süzülmesine bağlıdır. Şirket başına ayrı veritabanı yapısal bir sınır ekler. Yazılım satın alıyorsanız sağlayıcınıza müşteri verisini nasıl ayırdığını sorun.

VOLTR bunu nasıl yapıyor?

VOLTR bu uygulamalar için araçlar sunar; uyumun kendisi şirketinizin süreçlerine bağlıdır.

• Şirket başına ayrı veritabanı: Her şirketin kullanıcıları, rolleri ve modül verileri kendi veritabanındadır; şirketler birbirinin verisini göremez.
• Rol ve kişiye özel izin: İzinler rolde başlar; rolde olmayan izin kişiye verilir, rolde olan kaldırılır. Yetki yükseltme kapalıdır. Kolonlar role göre gizlenir; gizli kolon sunucu yanıtında hiç yer almaz.
• Numara maskeleme: Maskeli rolde ya da kişide telefon numarası sunucu yanıtından çıkarılır, numarayla süzme ve sıralama yapılamaz. Maskeli temsilci numara yazarak arayamaz; arama kayıt üzerinden yapılır.
• Ses kayıtları: Kaydı dinlemek ayrı izin ister ve her erişim günlüğe yazılır. Saklama süresi dolunca dosya silinir, çağrı kaydı kalır.
• Canlı sohbet: Kart numarası, TC kimlik numarası ve IBAN, mesaj kaydedilmeden önce maskelenebilir. Saklama süresi ayarıyla süresi dolan sohbetlerin mesajları, ekleri ve form yanıtları silinir; bekleme süresi gibi ölçüler raporlar için kalır.
• Denetim kaydı: Girişler, başarısız giriş denemeleri, kullanıcı, rol ve izin değişiklikleri, ayar değişiklikleri ve dışa aktarmalar kaydedilir; gizli alanlar maskelenir.
• İki adımlı doğrulama: TOTP, QR kod ve yedek kodlarla isteğe bağlı olarak açılır; aktif cihazlar listelenir; tek bir cihazdan ya da diğer tüm cihazlardan çıkış yapılır.

Sık sorulan sorular

KVKK telefon numarasını maskelemeyi zorunlu tutuyor mu?

KVKK belirli bir araç dayatmaz. Ölçülülük ve veri güvenliği ister; maskeleme, temsilciye yalnızca işi için gerekeni göstermenin pratik bir yoludur.

Ses kayıtlarını ne kadar süre saklamalıyız?

Tek bir doğru süre yoktur. Kaydın amacına ve sektörünüze özgü yükümlülüklere bağlıdır. Süreyi amaç bazında belirleyin, belgeleyin ve otomatik silin.

Şirket başına ayrı veritabanı bizi KVKK'ya uyumlu yapar mı?

Tek başına yapmaz. Güçlü bir teknik güvencedir; ancak uyum aynı zamanda hukuki dayanaklarınıza, aydınlatma metinlerinize, sözleşmelerinize ve iç süreçlerinize bağlıdır.

İki adımlı doğrulama temsilciler için zorunlu olmalı mı?

Müşteri verisine erişen her hesap için yaygın olarak önerilir. En azından yöneticiler ve süpervizörler için şirket politikası hâline getirin.

Bu kontrolleri kendi ekranınızda görmek için ücretsiz VOLTR hesabınızı açın; şirketiniz ilk günden kendi veritabanıyla kurulur. Ayrıntılar Güvenlik sayfasında; numara maskeleme ve kayıt erişiminin nasıl işlediğini Çağrı Merkezi, sohbet verisinin nasıl yönetildiğini Canlı Sohbet sayfasında inceleyebilirsiniz.