Yapay zekâ müşterinizi arayabilir mi? KVKK ve İYS ne diyor

Sesli yapay zekâ ajanı kurmak isteyen çoğu şirket işe teknik soruyla başlıyor: hangi ses daha doğal, hangi model daha hızlı, santralime nasıl bağlarım. Oysa projeyi gerçekten durduran soru daha baştaki soru: bu numarayı arama hakkınız var mı?

Türkiye'de bir müşteriyi telefonla aramak, üç ayrı düzenlemenin kesiştiği yerde duruyor. Üçü de farklı şeyi koruyor ve birinden aldığınız izin diğerini karşılamıyor. Bu yazı o üçünü ayırıyor.

Üç ayrı düzenleme, üç ayrı soru

Karışıklığın kaynağı, üç mevzuatın aynı eyleme farklı açılardan bakması. Sırayla sorulacak sorular şunlar:

Dikkat edin: bunlar birbirinin yerine geçmiyor. KVKK açısından verinin elinizde olması meşru olabilir — örneğin kişi size bayilik başvurusu yapmıştır — ama aynı kişiye kampanya duyurusu için arama yapmak ayrı bir onay gerektirir.

KVKK: veriyi işlemenin dayanağı ne?

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verinin işlenmesi için ya açık rıza ya da kanunda sayılan diğer işleme şartlarından birinin bulunmasını arıyor. Telefon numarası kişisel veridir; görüşme kaydı ve transkript de öyledir.

Pratikte satış ekiplerinin en çok dayandığı iki hal şunlar:

• Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması — kişi size başvuru formu doldurmuşsa, o başvuruyu değerlendirmek için aramak bu kapsamda tartışılabilir.
• Veri sorumlusunun meşru menfaati — ancak bu, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla. Yani sınırsız bir kapı değil ve dengelemeyi yazılı olarak yapmış olmanız beklenir.

Buradaki en yaygın hata, başvuru formundaki onayı her şey için geçerli saymak. Kişi "bayilik bilgisi almak istiyorum" dediğinde size o konuda dönmeniz için bir zemin oluşur; aynı kişiye altı ay sonra farklı bir markanın kampanyası için dönmeniz aynı zemine dayanmaz.

Aydınlatma yükümlülüğü aramadan önce başlar

Veriyi topladığınız anda ilgili kişiyi aydınlatmanız gerekiyor: kim topluyor, hangi amaçla, kimlere aktarılıyor, ne kadar süre tutulacak, hangi haklara sahip. Bu, formun altındaki bir onay kutusundan ibaret değil — erişilebilir bir aydınlatma metni olmalı. Bizim kendi metnimiz KVKK Aydınlatma Metni sayfasında duruyor; yapısını örnek olarak inceleyebilirsiniz.

6563: ticari amaç varsa onay şart

Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, ticari elektronik iletiler için önceden onay kuralı getiriyor. Kanunun kapsamı yalnız e-posta ve SMS değil; telefonla arama da ticari elektronik ileti sayılıyor.

Kritik ayrım şu: aramanın amacı ne? Aynı teknoloji, aynı numara, aynı ajan — ama iki farklı hukuki durum:

Sesli ajan kurulumlarının çoğu, ikinci sütunda başlayıp zamanla üçüncü sütuna kayar. Kayma anını kimse fark etmez; denetim anında fark edilir.

Bu yüzden sistemin ilk gününden itibaren arama amacını kayıt altına almak gerekiyor. Hangi kampanya, hangi senaryo, hangi hukuki dayanak — bunlar aramanın kendisiyle birlikte tutulmalı ki sonradan "biz bunu neden aramıştık" sorusu cevapsız kalmasın.

İYS: onayı kanıtlayabiliyor musunuz?

İleti Yönetim Sistemi, ticari elektronik ileti onaylarının tutulduğu merkezî sistem. Amacı basit: alıcı istediği an ret hakkını kullanabilsin, gönderici de onayı kanıtlayabilsin.

Otomatik arama yapan bir sistem açısından buradaki mesele teknik: ret talepleri sisteminize geri işlenmeli. Bir kişi İYS üzerinden aramaları kapattığında, sizin arama kuyruğunuzun bunu bilmesi gerekiyor. Kuyruk bunu bilmiyorsa sistem, ret vermiş bir kişiyi ertesi gün yine arar — ve bu, insan hatası değil sistem hatası olur.

Görüşmenin kaydedilmesi ayrı bir başlık

Aramayı yapma hakkınız olması, o aramayı kaydetme hakkınız olduğu anlamına gelmiyor. Kayıt ayrı bir işleme faaliyetidir ve ayrıca dayanak ister.

• Görüşmenin başında kaydın yapıldığı açıkça bildirilmeli.
• Kaydın amacı sınırlı olmalı — "kalite ve eğitim" demek, o kaydı pazarlama modeli eğitmek için kullanma hakkı vermez.
• Saklama süresi önceden belirlenmiş ve fiilen uygulanıyor olmalı. Politikada 30 gün yazıp veritabanında iki yıllık kayıt tutmak, politikayı yazmamış olmaktan daha kötü bir durumdur.

Kayıt sürelerini ve silmenin teknik tarafını ayrı bir yazıda ele aldık: Görüşme kaydı tutmanın hukuki sınırı.

Kurulum öncesi kontrol listesi

Sesli ajan projesine başlamadan önce şu altı sorunun yazılı cevabı olmalı. Yazılı olmayan cevap, cevap sayılmaz — denetimde de öyle sayılmaz.

1. 1.Aradığımız numaralar hangi kaynaktan geldi ve o kaynakta hangi metin gösterildi?
2. 2.Aramanın amacı bilgilendirme mi, pazarlama mı? İkisi karışıyorsa ayrı kuyruklar mı kullanıyoruz?
3. 3.Ticari amaç varsa onay İYS'de kayıtlı mı ve ret talepleri sistemimize geri işleniyor mu?
4. 4.Aydınlatma metnimiz güncel mi ve aranan kişinin erişebileceği bir yerde mi?
5. 5.Görüşme kaydı ve transkript ne kadar süre tutulacak, silme işi otomatik mi çalışıyor?
6. 6.Ajan, "beni aramayın" ifadesini tanıyıp aramayı sonlandırıyor ve kaydı işaretliyor mu?

Sonuç

Otomatik arama Türkiye'de yasak değil. Ama izinsiz arama yasak, kanıtlanamayan izin izin sayılmıyor ve reddi duymayan sistem sorumluluğu ortadan kaldırmıyor.

İyi haber şu: bu kuralların hepsi sisteme baştan yazılabilir. Rıza durumunu aramanın önüne koyan, ret talebini kuyruğa geri işleyen ve saklama süresini kendisi uygulayan bir kurulumda uyum, her arama için tekrar düşünülmesi gereken bir mesele olmaktan çıkar.

Kendi aldığımız teknik tedbirleri tarihi ve kanıtıyla yayımlıyoruz: Sertifikamız yok, kaydımız var.