Sanal Santral Firmaları Tarafından Sağlanan KVKK Koşulları

Kurumsal iletişim günümüz rekabetçi iş dünyasında sadece müşterilerle bağ kurmanın ve satış yapmanın bir aracı değil, aynı zamanda devasa ve sürekli bir veri akışının merkezidir. İşletmelerin dijitalleşme vizyonları doğrultusunda eski nesil hantal fiziksel telefon altyapılarını terk etmesiyle birlikte, ses verilerinin internet protokolleri üzerinden iletilmesi ve çağrı kayıtlarının bulut sunucularda depolanması endüstri standardı haline gelmiştir. Ancak teknolojik verimliliği artıran bu devasa sıçrama, beraberinde şirketlerin hukuk, IT ve uyum (compliance) departmanları için masaya çok kritik bir konuyu getirir: Kişisel Verilerin Korunması Kanunu (KVKK) uyumluluğu.

Bir müşteri şirketinizle iletişime geçtiğinde telefonda paylaştığı ismi, soyismi, T.C. kimlik numarası, adres detayları, kredi kartı bilgileri veya kişinin kimliğini doğrudan açığa çıkaran sesinin biyometrik tınısı, kanun kapsamında büyük bir hassasiyetle korunması gereken kişisel verilerdir. Bu değerli verilerin siber güvenliğini sağlamak ve hukuka uygun şekilde işlemek işletmeniz için sadece etik bir sorumluluk değil; ihlali halinde milyonlarca liralık idari para cezalarıyla ve telafisi imkansız marka itibar kayıplarıyla sonuçlanabilecek son derece ağır bir hukuki zorunluluktur.

İşletmelerin “Veri Sorumlusu” Olarak Yasal Yükümlülükleri

Bir müşteri şirketinizin kurumsal iletişim numarasını aradığında ve “Görüşmeleriniz hizmet kalitesi standartları gereği kayıt altına alınmaktadır” anonsunu duyduğunda veri işleme süreci resmen başlamış kabul edilir. KVKK mevzuatı önünde, bu verilerin toplanma amacını ve araçlarını belirleyen şirketiniz “Veri Sorumlusu” (Data Controller), teknolojik altyapısını kullandığınız bulut telekomünikasyon hizmet sağlayıcısı ise “Veri İşleyen” (Data Processor) statüsündedir. Veri Sorumlusu olarak ses kayıtlarının maksimum güvenliğinden, hangi veri merkezlerinde depolandığından ve hangi koşullarda imha edildiğinden yasalar karşısında birincil derecede siz sorumlusunuzdur.

İşte tam bu noktada pazar araştırması yaparken karşınıza çıkan sanal santral firmaları arasından yapacağınız tercih, şirketinizin yasal kaderini tayin eder. Eğer altyapısını kiraladığınız firmanın veri sunucuları KVKK standartlarını karşılamıyorsa veya veri sızıntılarına karşı yeterli şifreleme kalkanlarına sahip değilse, yaşanacak herhangi bir veri sızıntısında veya müşteri şikayetinde Kişisel Verileri Koruma Kurumu’na (KVKK) hesap verecek olan taraf doğrudan sizin işletmeniz olacaktır. “Altyapıyı başkasından kiraladım, benim suçum yok” savunması hukuk önünde hiçbir geçerliliğe sahip değildir.

Aydınlatma Yükümlülüğünün IVR ile Kusursuz Otomasyonu

Kanunun işletmelere yüklediği en önemli görevlerden biri “Aydınlatma Yükümlülüğü”dür. Bir çağrı merkezi personeli müşteriyle konuşmaya başlamadan önce, karşı tarafın sesinin kaydedileceği ve bu verilerin hangi amaçla kullanılacağı konusunda yasal olarak bilgilendirilmesi şarttır.

Eski sistemlerde bu süreçleri yönetmek karmaşıkken, modern bulut iletişim altyapıları süreci tamamen otomatik hale getirir. Yönetim paneli üzerinden, şirketinizin hukuk departmanı tarafından özel olarak hazırlanan ve KVKK şartlarına tam uyumlu olan “Aydınlatma Metni”, stüdyo ortamında seslendirilerek doğrudan karşılama anonsuna (IVR) entegre edilir. Müşteri, müşteri temsilcisine bağlanmadan önce bu yasal metni dinler ve ancak ondan sonra çağrı başlar. Böylece şirketiniz, her bir çağrıda yasal yükümlülüğünü eksiksiz ve otomatik olarak yerine getirmiş olur.

Verilerin Depolandığı Lokasyon: Yurt Dışı Sunucu Tehlikesi

KVKK’nın en net, tavizsiz ve işletmelerin en çok hata yaptığı maddelerinden biri kişisel verilerin yurt dışına aktarımıyla ilgilidir. Kanuna göre, ilgili kişinin açık rızası alınmadan veya Kurum’un belirlediği “güvenli ülkeler” listesi dışında kalan bölgelere hiçbir şekilde kişisel veri aktarımı yapılamaz.

Birçok işletme sahibi veya yönetici, sistem kurmadan önce sanal santral nedir araştırması yaparken genellikle yazılımın pratik yeteneklerine, entegrasyon gücüne ve fiyatına odaklanır; arka plandaki sunucuların fiziksel olarak nerede barındırıldığını sormayı ihmal eder. Piyasada “merdiven altı” tabir edilen veya sadece maliyetlerini düşürmek isteyen bazı lisanssız sağlayıcılar, altyapılarını yurt dışındaki (Avrupa Birliği veya Amerika merkezli) ucuz küresel bulut hizmetlerinde barındırır. Bu tablo, müşterilerinizin ses kayıtlarının siz farkında bile olmadan Türkiye sınırları dışına çıkarılması anlamına gelir. Bu durum doğrudan bir KVKK ihlalidir.

Güvenilir, yasal ve kurumsal bir hizmet sağlayıcısının Türkiye Cumhuriyeti sınırları içerisinde bulunan, coğrafi yedekliliği (disaster recovery) sağlanmış, Tier III veya Tier IV standartlarındaki yüksek güvenlikli yerel veri merkezlerinde (data center) hizmet vermesi kesin bir hukuki zorunluluktur.

Veri Saklama Süreleri, İmha Süreçleri ve “Unutulma Hakkı”

Kanun, kişisel verilerin sadece işlendikleri meşru amaç için gerekli olan süre kadar muhafaza edilmesini ve süre bitiminde derhal imha edilmesini emreder. “Depolama alanım geniş, ses kayıtlarını sonsuza kadar sunucuda tutayım” mantığı yasalara tamamen aykırıdır. Bu bağlamda, şirketinizin kullanacağı iletişim altyapısının esnek, kural bazlı ve yönetilebilir veri saklama politikalarına sahip olması elzemdir.

Modern ve gelişmiş sanal santral özellikleri sayesinde, şirketinizin uyum veya hukuk departmanının belirlediği saklama politikalarını sisteme doğrudan entegre edebilirsiniz. Örneğin; “Satış onayı alınan görüşmeleri 3 yıl sakla, ancak standart müşteri destek görüşmelerini 6 ayın sonunda otomatik olarak sil” gibi kurallar tanımlanabilir. Süresi dolan verilerin geri döndürülemeyecek şekilde kalıcı olarak silinmesi, veri işleyen kurumun otomasyon yetenekleriyle güvence altına alınmalıdır.

Ayrıca kanunun vatandaşlara tanıdığı en güçlü haklardan biri olan “Unutulma Hakkı” devreye girdiğinde hız çok önemlidir. Bir müşteri “Verilerimi ve çağrı kayıtlarımı sistemlerinizden derhal silin” talebiyle size resmi olarak başvurduğunda, gelişmiş yönetim arayüzü sayesinde o kişiye ait spesifik ses kayıtlarını numara veya tarih bazlı olarak saniyeler içinde bulup anında imha edebilmeniz, işletmenizi ağır yaptırımlardan ve idari cezalardan kurtaracaktır.

Siber Güvenlik, Şifreleme (Encryption) ve Merdiven Altı Riskleri

KVKK kişisel verilerin sadece idari ve hukuki politikalarla değil, aynı zamanda en üst düzey teknik tedbirlerle de korunmasını şart koşar. Piyasada araştırma yapan IT yöneticileri, kapsamlı bir sanal santral karşılaştırma süreci yürüttüklerinde, vitrindeki ucuz fiyat etiketlerinin ardında yatan devasa siber güvenlik uçurumlarını kolayca fark edebilirler.

Bilgi Teknolojileri ve İletişim Kurumu (BTK) lisansı olmayan, sektörde denetlenmeyen firmalar, sistem mimarilerinde genellikle ses paketlerini (RTP) internet üzerinden açık metin (clear text) olarak, hiçbir şifreleme katmanı kullanmadan iletirler. Bu da şirketinizle aynı ağda bulunan kötü niyetli bir yazılımın veya dışarıdan sızan bir siber korsanın tüm müşteri görüşmelerinizi, kredi kartı onaylarınızı “Man-in-the-Middle” (Ortadaki Adam) saldırılarıyla canlı olarak dinleyebileceği anlamına gelir.

Gerçek bir hukuki ve teknik güvence; ancak TLS (Transport Layer Security) protokolü ile uçtan uca sinyalleşme şifrelemesinin yapılması ve SRTP (Secure Real-time Transport Protocol) ile de ses akışının tamamen şifrelenmesiyle mümkündür. Dahası, veritabanında saklanan (data at rest) geçmiş ses kayıtlarının, AES-256 gibi askeri düzeyde gelişmiş şifreleme algoritmalarıyla korunması gerekir. Bu sayede kötü niyetli kişiler sunucuya fiziksel veya yazılımsal olarak sızmayı başarsa bile, ellerine geçen ses dosyaları şifreli olacağı için hiçbir işe yaramayacaktır.

Şirket İçi Erişim Yetkilendirmeleri ve Denetim İzleri (Audit Trails)

Veri güvenliği ve KVKK sadece dışarıdan gelen hacker saldırılarına karşı değil, şirket içerisindeki “iç tehditlere” (insan hatası veya kötü niyetli personel) karşı da koruma sağlamayı gerektirir.

İletişim altyapınızın “Erişim Yetkilendirme” (Access Control) mimarisi son derece katı ve özelleştirilebilir olmalıdır. Profesyonel ve güvenli bir İstanbul sanal santral yönetimi arayüzü kurgularken, rol bazlı yetkilendirmeler (RBAC) yapılmalıdır:

• Üst Düzey Yönetim: Tüm departmanların kayıtlarını dinleyebilir ve indirebilir.
• Takım Liderleri: Sadece kendi ekiplerindeki personellerin çağrı kayıtlarını dinleyebilir.
• Standart Müşteri Temsilcileri: Geçmiş çağrı kayıtlarını dinleme, kopyalama veya indirme yetkisine sahip değildir.

Dahası, sisteme kimin, hangi IP adresinden, hangi gün ve saatte giriş yaptığı, hangi abonenin ses kaydını dinlediği veya cihazına indirdiği gibi tüm kritik hareketler, “Denetim İzleri” (Audit Logs) olarak zaman damgalı (timestamp) şekilde kaydedilmelidir. Olası bir veri ihlali soruşturmasında şirketinizin resmi makamlara sunabileceği en büyük ve tek hukuki kanıt, bu silinemez ve değiştirilemez sistem logları olacaktır.

Sözleşmelerde Yer Alması Gereken Şartlar (SLA ve Veri İşleyen Anlaşmaları)

İletişim altyapınızı kuracak olan teknoloji sağlayıcınızla masaya oturduğunuzda, sadece fatura tutarını veya dakika paketlerini değil, “Veri İşleyen Sözleşmesi”ni de çok sıkı bir şekilde müzakere etmelisiniz. Pazardaki vizyoner ve kurumsal sanal santral firmaları, size sadece teknik bir yazılım kodu değil, aynı zamanda aşılmaz bir yasal çerçeve sunmakla yükümlüdür.

İmzalayacağınız sözleşmelerde şu taahhütler kesinlikle yer almalıdır:

• Olası bir siber saldırı veya veri sızıntısı durumunda sağlayıcının size anında bildirim yapacağı (Kanun bu bildirimler için genellikle 72 saatlik çok dar bir pencere tanır).
• Çağrı verilerinizin ve müşteri numaralarınızın üçüncü parti reklam şirketleri, analiz araçları veya pazar araştırma firmalarıyla hiçbir koşulda paylaşılmayacağı.
• Sistem altyapısının bağımsız siber güvenlik firmaları tarafından düzenli olarak Sızma Testlerinden (Penetration Test) geçirildiği.
• Veri merkezlerindeki sunucuların veya hard disklerin donanım ömrü dolduğunda, disklerin standart bir çöp gibi atılmayıp, verilerin kurtarılamayacağı şekilde fiziksel imha (degaussing) prosedürleriyle yok edileceği.

Eğer hizmet almayı planladığınız firma bu hayati taahhütleri yazılı sözleşme ve SLA (Hizmet Seviyesi Anlaşması) metinlerinde vermekten imtina ediyorsa, şirketinizin tüm hukuki varlığını, bütçesini ve itibarını büyük bir riske atıyorsunuz demektir.

Kırmızı Santral ile %100 Yasal ve Risksiz Kurumsal Uyum

Kurumsal şirketlerin, sağlık kuruluşlarının, bankaların, çağrı merkezlerinin ve büyümekte olan vizyoner KOBİ’lerin hukuk departmanları için iletişim teknolojilerindeki en büyük kabus, kontrol edilemeyen veri riskleri ve sınır ötesi ihlallerdir. Sırf maliyetleri piyasanın biraz altında olduğu için tercih edilen lisanssız, güvensiz sistemler; yarın kapınıza gelecek olan milyonlarca liralık veri ihlali cezalarıyla bilançonuzu telafisi olmayan bir şekilde sarsabilir.

Şirketinizin hukuki itibarını korumak, yasal süreçleri stressiz bir şekilde yönetmek ve siber güvenlik endişesi taşımadan sadece büyümenize odaklanmak istiyorsanız; güvenilir, lisanslı ve yerli mühendislik ürünü altyapılara yatırım yapmak yegane geçerli stratejidir. Kırmızı Santral olarak, iletişim mimarimizin her satır kodunu ve her bir bulut sunucu konfigürasyonunu Kişisel Verilerin Korunması Kanunu’nun (KVKK) en katı gereksinimlerine göre özel olarak tasarladık.

İletişim altyapınızı hız ve verimlilikle dijitalleştirirken aynı zamanda en güçlü hukuki zırhınızı da kuşanmak istiyorsanız, aradığınız kurumsal güvence artık çok yakınınızda. İşletmenizin hassas verilerini güvenle emanet edebileceğiniz, yasal uyumluluğu merkeze alan modern sanal santral çözümlerimiz, şifreleme teknolojilerimiz ve KVKK uyum süreçlerimiz hakkında uzman ekibimizle hemen iletişime geçebilirsiniz.