İhracatta KVKK ve veri koruma: bilmeniz gerekenler

İhracatçılar hedef pazarlardaki alıcılarla iletişim kurarken kişisel verilerle karşılaşır: yetkili kişinin adı, unvanı, e-posta adresi, telefon numarası. Bu veriler kurumsal olsa bile, çoğu veri koruma mevzuatında kişisel veri sayılır. İşte pratikte bilinmesi gereken temel noktalar.

1. Hangi mevzuat geçerli?

Konu ikili bir çerçevede düşünülmelidir:

• Türkiye’de: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK). Verileri Türkiye’den işleyen ve yöneten firma olarak “veri sorumlusu” sıfatını taşırsınız.
• Alıcının ülkesinde: Avrupa Birliği ve Birleşik Krallık’ta GDPR/UK GDPR gibi düzenlemeler, ayrıca ticari elektronik iletilere ilişkin ülke kuralları devreye girebilir. Hedef ülkeye göre hükümler değişir.

Bu yüzden “ne yaptığımızı anlatan” tek bir politika yerine, hedef pazarlara göre kısa bir uygunluk notu hazırlamak yararlıdır.

2. İşlenen verinin sınırlarını belirleyin

İyi bir pratik, yalnızca gerekli veriyi toplamaktır: kurumsal iletişim bilgileri, unvan ve firma bilgisi çoğu zaman yeterlidir. Kişisel sosyal medya profilleri, ev adresleri ya da hassas nitelikteki bilgiler iş amacı için gerekmez; toplamayın.

• Veriyi amaçla sınırlı kullanın: ihracat tanıtımı ve teklif için toplanan veriyi başka bir amaçla kullanmayın.
• Doğruluğunu koruyun: hatalı veri hem alıcıyı rahatsız eder hem riski artırır.
• Saklama süresini belirleyin: yanıt vermeyen ya da ilgilenmeyen alıcıların verisini süresiz tutmayın.

3. İlk temasta şeffaflık

Alıcıya ilk yazdığınızda şunlar açık olmalıdır:

• Kim olduğunuz ve nasıl ulaşılacağınız.
• İletişim bilgisini hangi kaynaktan edindiğiniz (örneğin firmanın kamuya açık web sitesi ya da fuar kataloğu).
• İletişimi neden kurduğunuz.
• Bundan sonra iletişim istemiyorsa nasıl çıkabileceği.

Bunları kısa bir cümleyle metne yedirmek hem güven yaratır hem uyumu kolaylaştırır.

4. Çıkış ve itiraz hakkına saygı

Alıcı “bana yazmayın” dediğinde bu isteğin hızla ve kalıcı biçimde uygulanması gerekir. Pratikte:

• Çıkış istekleri bir engel listesinde tutulmalı; aynı kişi bir sonraki kampanyada tekrar aranmamalı.
• Çıkış talebi için kolay bir yol (yanıt yazmak, bağlantıya tıklamak) olmalı.
• Talebin ne zaman uygulandığına dair kayıt tutulmalı.

5. Veriyi koruyun

Alıcı verileri bir güvenlik yükümlülüğüdür. Temel önlemler: erişimin yetkilendirilmesi, güçlü kimlik doğrulama, veri yedekleme, kişisel veri içeren dosyaların e-postayla dolaşmaması. Bir veri ihlali durumunda, hangi sürelerde kime bildirim yapılacağını önceden planlayın.

6. Yapay zekâ ve otomasyon kullanıyorsanız

Verinin bir yazılıma ya da yapay zekâ hizmetine aktarılması, ayrıca değerlendirilmesi gereken bir konudur:

• Veri nerede işleniyor? Sizin kontrolünüzde bir sistemde mi, üçüncü taraf bir hizmette mi?
• Veri başka müşterilerin sistemlerini eğitmek için kullanılıyor mu?
• Hizmet sağlayıcıyla yapılan sözleşmede veri işleme şartları açık mı?

Teemour’da bilgileriniz size ayrılmış sistemde tutulur ve yalnızca sizin sisteminizde kullanılır. Ayrıntı için güvenlik ve veri sayfamıza bakabilirsiniz.

Hukuk danışmanınıza sorulacak sorular

1. Hedef pazarlarımızda kurumsal e-posta adreslerine ticari mesaj göndermenin koşulları nelerdir?
2. Alıcıdan önceden izin almamız gerekir mi, yoksa meşru menfaat yeterli mi?
3. Alıcı verilerini Türkiye dışına aktarıyor muyuz? Bu aktarım için hangi güvenceler gerekli?
4. Veri saklama sürelerimiz ve imha politikamız bu pazarlara uygun mu?
5. Sistem sağlayıcılarıyla yapılacak sözleşmelerde hangi madde olmazsa olmaz?
6. Bir alıcı verisinin silinmesini isterse süreç nasıl işleyecek?