KVKK ve WhatsApp Pazarlama: Müşteri Verisiyle Mesaj Gönderirken Dikkat Edilecekler

WhatsApp'tan müşterilerinize mesaj göndermeye başladığınızda, aslında her mesajda bir kişisel veri işliyorsunuz: müşterinin adını, telefonunu, sepetini, belki doğum gününü. İleti izni ve İYS işin bir tarafı; diğer tarafı, bu verilerin Kişisel Verilerin Korunması Kanunu'na (KVKK) uygun işlenmesi. Bu içerikte WhatsApp pazarlamasında hangi verilerin işlendiğini, aydınlatma ve hukuki sebep yükümlülüklerini, yurt dışına aktarım kurallarını, hizmet sağlayıcılarla ilişkiyi ve müşterinin haklarını ilgili kanun maddeleriyle birlikte ele alıyoruz.

KVKK WhatsApp Pazarlamasını Nasıl Etkiler?#

KVKK, WhatsApp pazarlamasında kullanılan müşteri adı, telefon numarası, sepet ve sipariş bilgileri gibi kişisel verilerin hangi ilkelerle, hangi hukuki sebeple, nasıl bir aydınlatmayla toplanıp işleneceğini, nasıl korunacağını ve kimlere aktarılabileceğini düzenler. 6698 sayılı Kanun, kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar; bir müşterinin telefonuna onun adıyla mesaj göndermek bu tanımın içindedir.

WhatsApp pazarlamasında iki ayrı mevzuat birlikte çalışır. Mesajı göndermeye izin konusu 6563 sayılı Kanun ve İYS ile düzenlenir; bunu İYS rehberimizde anlattık. Mesajı gönderirken kullandığınız verinin işlenmesi ise KVKK'nın konusudur.

WhatsApp Pazarlamasında Hangi Kişisel Veriler İşlenir?#

WhatsApp pazarlamasında genellikle kimlik, iletişim, alışveriş, pazarlama ve iletişim kaydı verileri işlenir. Her veri grubunun neden işlendiğini yazılı hâle getirmek, aydınlatma metninizin ve hukuki sebep değerlendirmenizin temelidir.

KVKK'nın 4. maddesi, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ve amaç için gerekli süre kadar saklanmasını ister. Örneğin doğum günü mesajı için doğum yılına ihtiyacınız yoktur; bunu doğum günü kampanyası rehberimizde ayrıntılı anlattık.

Müşteriye Hangi Bilgiler Verilmeli?#

Kişisel veriler toplanırken müşteriye; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile müşterinin hakları hakkında bilgi verilmelidir. Bu, KVKK'nın 10. maddesindeki aydınlatma yükümlülüğüdür.

WhatsApp pazarlaması için aydınlatma metninizde şunları açıkça yazın:

• WhatsApp ve diğer kanallardan hangi tür mesajlar gönderildiği (sipariş bilgisi, sepet hatırlatma, kampanya)
• Bu mesajlar için hangi verilerin kullanıldığı
• Mesajların gönderiminde çalıştığınız hizmet sağlayıcıların türü (mesajlaşma platformu, otomasyon hizmeti)
• Verilerin yurt dışına aktarılıp aktarılmadığı ve aktarımın dayanağı
• Müşterinin KVKK'nın 11. maddesindeki haklarını nasıl kullanabileceği

Kendi aydınlatma metnimizi örnek olarak KVKK sayfamızda görebilirsiniz.

Hangi Hukuki Sebebe Dayanmalısınız?#

KVKK'nın 5. maddesine göre kişisel veriler açık rıza ile ya da maddede sayılan diğer hukuki sebeplerden birine dayanılarak işlenebilir; hangi işleme için hangisine dayanacağınızı amaca göre belirlemeniz gerekir. Kanunun saydığı sebepler arasında bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğü ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati de bulunur.

Açık rızaya dayanıyorsanız, Kanun'daki tanımı karşılamalıdır: belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza. Genel ve her şeyi kapsayan bir metinle ya da hizmeti rızaya bağlayarak alınan bir onay bu tanıma uymakta zorlanır. İleti onayı ile açık rızanın farkını ticari elektronik ileti onayı rehberimizde tablo hâlinde gösterdik.

Veriler Yurt Dışına Aktarılıyorsa Ne Yapılmalı?#

Müşteri verileri yurt dışındaki bir sunucuda ya da hizmette işleniyorsa, aktarım KVKK'nın 2024'te değiştirilen 9. maddesindeki şartlardan birine dayanmalıdır. Madde, aktarımı öncelikle Kurul'un vereceği bir yeterlilik kararına bağlar; yeterlilik kararı yoksa şu uygun güvencelerden birinin sağlanmasını ister:

• Kurul tarafından ilan edilen standart sözleşme (imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir)
• Kurul tarafından onaylanan bağlayıcı şirket kuralları
• Yeterli korumayı sağlayacak hükümler içeren ve Kurul'un aktarıma izin verdiği yazılı taahhütname
• Kamu kurumları arasındaki anlaşmalar (Kurul izniyle)

Bunların hiçbiri sağlanamıyorsa Kanun, yalnızca arızi olmak kaydıyla sınırlı hâllerde aktarıma izin verir; bunlardan biri, ilgili kişinin muhtemel riskler hakkında bilgilendirilerek aktarıma açık rıza vermesidir.

Pratikte ilk adım, kullandığınız hizmetlerin verileri nerede işlediğini öğrenmektir: e-ticaret altyapınız, mesajlaşma platformu, otomasyon aracı, e-posta hizmeti. Her biri için aktarımın olup olmadığını ve dayanağını yazılı hâle getirin ve bunu hukuk danışmanınızla değerlendirin.

Hizmet Sağlayıcılarla İlişki Nasıl Kurulmalı?#

Mesajlaşma ve otomasyon hizmeti veren şirketler, çoğu zaman sizin adınıza veri işleyen konumundadır ve bu ilişki yazılı olarak tanımlanmalıdır. KVKK, işleme amaçlarını ve vasıtalarını belirleyeni veri sorumlusu, onun verdiği yetkiye dayanarak onun adına veri işleyeni veri işleyen olarak tanımlar.

Bu ayrımın pratik bir sonucu var: KVKK'nın 12. maddesine göre veriler veri sorumlusu adına başka biri tarafından işleniyorsa, güvenlik tedbirlerinin alınmasından veri sorumlusu ile veri işleyen müştereken sorumludur. Hizmet sağlayıcınızla yaptığınız sözleşmede şunları netleştirin:

• Hangi verilerin, hangi amaçla ve hangi süreyle işleneceği
• Verilerin hangi ülkelerde işlendiği
• Alınan teknik ve idari güvenlik tedbirleri
• Sözleşme sona erdiğinde verilerin iadesi veya silinmesi
• Bir veri ihlali olduğunda size ne kadar sürede haber verileceği

KVKK'nın 12. maddesi, işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurula bildirmesini de öngörür. Hizmet sağlayıcınızın ihlali size zamanında bildirmesi, bu yükümlülüğü yerine getirebilmenizin ön koşuludur.

Müşterinin KVKK Kapsamındaki Hakları Nelerdir?#

KVKK'nın 11. maddesine göre müşteri, verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik veya yanlış verinin düzeltilmesini ve kanundaki şartlar çerçevesinde silinmesini isteme gibi haklara sahiptir.

WhatsApp pazarlamasında en sık karşılaşacağınız iki talep, mesaj almayı durdurmak ve verilerin silinmesidir. İkisini ayrı süreçler olarak ele alın: "DUR" yazan müşteri ticari ileti almayı reddetmiş olur ve bu, 6563 sayılı Kanun kapsamında üç iş günü içinde İYS'ye bildirilir; verilerinin silinmesini isteyen müşterinin talebi ise KVKK kapsamında ayrıca değerlendirilir.

KVKK ve WhatsApp Pazarlama Kontrol Listesi#

1. WhatsApp pazarlamasında hangi verilerin, hangi amaçla işlendiği yazılı mı?
2. Doğum yılı gibi amaç için gereksiz veriler toplanmıyor mu?
3. Aydınlatma metni WhatsApp mesajlarını, hizmet sağlayıcıları ve yurt dışı aktarımı kapsıyor mu?
4. Her işleme için hukuki sebep belirlendi mi?
5. Kullanılan hizmetlerin verileri nerede işlediği biliniyor ve aktarım dayanağı belirlendi mi?
6. Hizmet sağlayıcılarla veri işleme ve güvenlik sözleşmesi var mı?
7. Veri ihlalinde bildirim süreci tanımlı mı?
8. Mesaj durdurma ve veri silme talepleri ayrı süreçlerle işleniyor mu?

Müşteri verilerinin nasıl işlendiğini ve izin yaklaşımımızı mesaj izni ve güvenlik bölümünde anlattık. CiroVar; Shopify, İkas, WooCommerce, Ticimax, T-Soft, İdeaSoft ve Shopier ile çalışır, kurulumu biz yapıyoruz. WhatsApp pazarlamanın genel kurallarını WhatsApp pazarlama rehberimizde bulabilirsiniz.