Instagram’da müşteri verisi; DM’den başlayıp sipariş formu, ödeme ve kargo kaydı, dışa aktarım ve yedek kopyalara kadar tek bir envanterde izlenerek yönetilir. 6698 sayılı KVKK’nın 4. maddesine göre veriler amaçla bağlantılı, sınırlı ve ölçülü olmalı, yalnız gerekli süre kadar tutulmalıdır. Bu nedenle profile aydınlatma metni eklemek tek başına yeterli değildir.
Başlangıçta şu noktaları netleştirmek işinizi kolaylaştırır:
- Hangi verinin hangi kanaldan geldiğini kaydedin.
- Her veri alanı için toplama amacını ve hukuki dayanağı belirleyin.
- DM, form, tablo ve yedek kopyalara kimlerin erişebildiğini sınırlandırın.
- Saklama süresi dolduğunda uygulanacak imha yöntemini önceden yazın.
- Silme talepleri ve olası veri ihlalleri için kayıt tutun.
Toplanan veriyi kaynağından imhaya kadar izleyin
İlk adım, müşteri bilgisinin nereden geldiğini ve daha sonra nereye kopyalandığını gösteren basit bir veri envanteri oluşturmaktır. Sadece “Instagram DM” yazmak yeterli değildir; konuşmanın sipariş tablosuna, kargo paneline veya ekip telefonundaki ekran görüntüsüne taşınıp taşınmadığı da görülmelidir.
| Kaynak | Toplanan bilgi | Saklandığı yer | Silme zamanı |
|---|---|---|---|
| Instagram DM | Kullanıcı adı, talep, yazışma | Instagram gelen kutusu | Talep ve ilgili yükümlülük sona erdiğinde |
| Sipariş formu | Ad, telefon, adres, ürün | Sipariş sistemi | Belirlenen yasal ve iş amaçlı süre sonunda |
| Dışa aktarılan dosya | Müşteri ve sipariş kayıtları | Yetkili bulut klasörü | Aktarım amacı tamamlandığında |
Instagram üzerinden hangi kişisel veriler toplanır?
Instagram müşteri verisi toplama sürecinde yalnız ad ve telefon değil, kişiyi belirlenebilir hâle getiren kullanıcı adı, profil fotoğrafı, mesaj içeriği, teslimat adresi, ürün tercihi ve şikâyet kaydı da kişisel veri olabilir. Müşterinin fotoğrafı veya DM ekran görüntüsü paylaşılacaksa görünür kullanıcı adı ve profil görseli ayrıca değerlendirilmelidir.
Ödeme kartı bilgisi, kimlik belgesi, sağlık bilgisi veya benzeri hassas kayıtları DM üzerinden istememek daha güvenlidir. Müşteriyi ilgili ödeme ya da doğrulama sistemine yönlendirmek, hem veri miktarını hem de hesabın taşıdığı riski azaltır.
Her bilgiyi istemek yerine gerekli veriyi belirleyin
Veri minimizasyonu, “ileride lazım olabilir” düşüncesiyle bilgi toplamamak demektir. Dijital ürün teslim ediyorsanız fiziksel adres istemeniz çoğu durumda gerekli değildir. Kargo çıkışı için doğum tarihi yerine ad, iletişim bilgisi ve teslimat adresi yeterli olabilir.
- Yapılacak işlemi yazın: teklif hazırlama, sipariş gönderme veya destek verme.
- Her form alanı için “Bu bilgi olmadan işlem yapılabilir mi?” diye sorun.
- Gerekli olmayan alanı kaldırın veya isteğe bağlı olarak açıkça işaretleyin.
- Pazarlama amacıyla kullanılacak iletişim bilgisini sipariş sürecinden ayrı değerlendirin.
Müşteri değerini takip ederken de büyük bir kayıt havuzu kurmak zorunlu değildir. minimum veriyle müşteri değerini ölçme yaklaşımı, gereksiz veri birikimini azaltabilir.
Aydınlatma, açık rıza ve işleme şartlarını ayırın
Aydınlatma, müşteriye verisinin kim tarafından, neden, hangi yöntemle ve hangi hukuki sebeple işlendiğini anlatmaktır. Açık rıza ise belirli bir işlem için özgür iradeyle verilen onaydır. İkisi aynı metin veya aynı onay kutusu gibi sunulmamalıdır.
Açık rıza her işlem için zorunlu değildir. Sözleşmenin kurulması veya yerine getirilmesi, hukuki yükümlülük ya da bir hakkın tesisi gibi KVKK’da sayılan başka bir işleme şartı bulunabilir. Geçerli dayanak somut amaca göre belirlenmelidir; “her ihtimale karşı rıza alma” yaklaşımı doğru bir kayıt düzeninin yerini tutmaz.
Profil bağlantısı ve sipariş formunda kullanılabilecek yapı için Instagram hesabına aydınlatma metni ekleme adımlarından yararlanabilirsiniz.
DM, form ve sipariş kayıtlarını nerede saklamalısınız?
Kayıtlar, erişimi sınırlandırılabilen ve gerektiğinde silme işlemi uygulanabilen bir sistemde saklanmalıdır. Sipariş kesinleştiğinde gerekli bilgiler yetkili sipariş sistemine aktarılabilir; ekip telefonları, kişisel e-posta kutuları ve dağınık hesap tabloları kalıcı arşiv olarak kullanılmamalıdır.
- Çalışanlara yalnız görevleri için gereken erişimi verin.
- Instagram ve kayıt sistemlerinde iki aşamalı doğrulamayı açın.
- Dışa aktarılan dosyaları kişisel cihazlarda bırakmayın.
- Çalışan ayrıldığında hesap ve klasör yetkilerini kaldırın.
- Yedeklerin de saklama ve silme düzenine dahil olduğunu unutmayın.
Etkisepeti’nin kademeli teslimat ve Türkiye merkezli gerçek hesap altyapısı Instagram görünürlüğünü desteklemeye yöneliktir; DM, sipariş formu veya müşteri veri envanterinizi yönetmez. Bu kayıtlar için işletmenin ayrıca erişim, saklama ve imha düzeni kurması gerekir.
Saklama süresi neye göre belirlenir?
Kişisel veri saklama süresi, verinin toplandığı amaç ve işletmenin tabi olduğu hukuki yükümlülükler birlikte değerlendirilerek belirlenir. Bütün kayıtlar için tek bir süre kullanmak yerine sipariş, destek, pazarlama izni ve başarısız teklif kayıtları ayrı ele alınmalıdır.
- Sipariş kayıtları
- Satış, muhasebe, tüketici uyuşmazlığı ve ilgili yasal yükümlülüklere göre tutulur.
- Destek yazışmaları
- Talebin çözümü ve olası uyuşmazlık için gerekli süreyle sınırlandırılır.
- Pazarlama kayıtları
- Geçerli işleme şartı ortadan kalktığında veya ilgili kişi itiraz ettiğinde yeniden değerlendirilir.
- Tamamlanmayan talepler
- Teklif geçerliliği ve takip amacı sona erdiğinde gereksiz bilgiler silinir.
Süresi dolan veriler nasıl silinir veya anonimleştirilir?
Süresi dolan kayıt için silme, yok etme veya anonimleştirme yöntemlerinden uygun olanı seçilir. Silme, verinin ilgili kullanıcılar tarafından erişilemez hâle getirilmesidir. Yok etme, geri getirilemeyecek biçimde ortadan kaldırmadır. Anonimleştirme ise kaydın başka bilgilerle eşleştirilse bile bir kişiyle ilişkilendirilememesini gerektirir.
Uygulanan yöntemi, işlem tarihini, kapsamı ve işlemi yapan yetkiliyi kaydetmek daha sonra yapılacak denetimi kolaylaştırır. KVKK’nın yayımladığı silme, yok etme ve anonimleştirme rehberi yöntemleri ayırırken yararlı bir resmi kaynaktır.
Müşteri talepleri ve veri ihlalleri için kayıt düzeni kurun
Silme, bilgi alma veya düzeltme talebi geldiğinde mesajın kaybolmayacağı tek bir kayıt alanı kullanılmalıdır. Talebin tarihi, kimlik doğrulama yöntemi, ilgili sistemler, verilen yanıt ve tamamlanma tarihi kayda geçirilmelidir.
Yetkisiz erişim, yanlış alıcıya gönderilen sipariş dosyası veya ele geçirilen Instagram hesabı gibi olaylarda önce erişim sınırlandırılmalı, kayıtlar korunmalı ve olayın kapsamı belirlenmelidir. Gerekliyse Kurula ve etkilenen kişilere yapılacak bildirim, gecikmeden hukuki değerlendirmeye alınmalıdır.
Olay kaydında hangi bilgiler bulunmalı?
Olayın fark edildiği tarih, etkilenen veri türleri, yaklaşık kapsam, alınan güvenlik önlemleri, sorumlu kişiler, bildirim değerlendirmesi ve tekrarını önlemek için yapılan değişiklikler birlikte kaydedilmelidir.
Sıkça Sorulan Sorular
Instagram DM’lerini saklamak KVKK’ya aykırı mı?
Hayır, kendiliğinden aykırı değildir. Yazışmanın belirli bir amacı ve geçerli işleme şartı bulunmalı; erişim sınırlandırılmalı ve ihtiyaç sona erdiğinde kayıt imha edilmelidir.
Müşteri verileri için açık rıza her zaman gerekli mi?
Hayır. Sözleşmenin yerine getirilmesi veya hukuki yükümlülük gibi başka bir işleme şartı bulunabilir. Açık rıza gerekip gerekmediği her amaç için ayrı değerlendirilir.
Instagram konuşmaları ne kadar süre saklanabilir?
Herkes için geçerli tek bir süre yoktur. Süre; görüşmenin amacı, sipariş ilişkisi, uyuşmazlık ihtiyacı ve ilgili yasal yükümlülüklere göre belirlenmelidir.
Bir müşteri verilerinin silinmesini isterse ne yapılmalı?
Önce talep sahibinin kimliği güvenli biçimde doğrulanmalı, ardından verinin tutulmasını gerektiren başka bir hukuki sebep olup olmadığı incelenmelidir. Sonuç ve yapılan işlemler kayıt altına alınarak müşteriye bildirilmelidir.
Ekran görüntüsünü silmek kişisel veriyi tamamen imha eder mi?
Her zaman etmez. Görsel mesajlaşma uygulamasında, cihaz yedeğinde, bulut klasöründe veya başka bir ekip üyesinin telefonunda bulunabilir. Tam imha için envanterdeki bütün kopyalar kontrol edilmelidir.
