Çağrı merkezinizde üç yıl önceki bir görüşmenin kaydı hâlâ duruyor mu?
Bir müşteri, iki yıl önce yaptığı bir aboneliğin iptal görüşmesini hatırlıyor ve kaydın bir kopyasını istiyor. Şirketin çağrı merkezi kaydı buluyor. Ama aynı arşivde, o müşterinin sözleşmesi çoktan bitmiş olmasına rağmen yüzlerce başka görüşmesi de duruyor. Kimse bu kayıtları neden sakladığını açıklayamıyor.
Çoğu çağrı merkezinde ses kayıtları "belki lazım olur" diye birikir. KVKK açısından sorun tam da burada başlar: sebebi açıklanamayan her saklama, hesabı verilemeyen bir veri işleme faaliyetidir.
Çağrı kayıtları ne kadar süre saklanmalı? (Kısa cevap)
KVKK, çağrı kayıtları için tek bir sabit süre belirlemez. Ses kaydı, ilgili mevzuatta öngörülen ya da kaydın alınma amacı için gerekli olan süre kadar saklanır; bu süre dolunca silinir, yok edilir veya anonim hale getirilir. Süreyi şirket, veri sorumlusu olarak kendisi belirler ve saklama ve imha politikasında gerekçesiyle yazar. Silme işlemi, yönetmelik gereği en fazla altı ayda bir yapılan periyodik imhayla yerine getirilir.
Çağrı kaydı neden kişisel veridir?
Bir ses kaydı, arayan kişinin sesini, adını, telefon numarasını ve çoğu zaman adres, sipariş, sağlık ya da ödeme bilgisini aynı anda içerir. Kişisel Verileri Koruma Kurulu da çağrı merkezi görüşme kaydını kişisel veri olarak ele alır ve ilgili kişinin kendi görüşmesinin dökümünü talep edebileceğini kabul eder. Örneğin 2020/504 sayılı kararda bir havayolu şirketi, müşterinin çağrı kaydı talebini önce reddetmiş, ardından kaydın dökümünü gerekli maskeleme tedbirleriyle müşteriyle paylaşmıştır; Kurul da bu nedenle şirket hakkında işlem yapılmasına gerek görmemiştir.
Kısacası çağrı kaydı, şirketin elindeki en yoğun kişisel veri türlerinden biridir. Ne kadar uzun tutulursa risk de o kadar büyür.
KVKK saklama süresi hakkında ne söylüyor?
6698 sayılı Kanun'un 4. maddesi, kişisel verilerin "ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi" ilkesini koyar. 7. madde ise işleme şartları ortadan kalktığında verinin silinmesini, yok edilmesini veya anonim hale getirilmesini zorunlu tutar.
Bu iki maddenin uygulaması, 28 Ekim 2017 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'le ayrıntılandırılmıştır (mevzuat.gov.tr). Yönetmeliğin çağrı merkezleri için öne çıkan hükümleri şunlardır:
- Saklama ve imha politikası: Veri Sorumluları Siciline (VERBİS) kayıt yükümlüsü olan şirketler, kişisel veri işleme envanterine uygun bir saklama ve imha politikası hazırlar.
- Periyodik imha: Silme yükümlülüğü doğan veriler, yükümlülüğün doğduğu tarihten sonraki ilk periyodik imhada silinir. Periyodik imha aralığı altı ayı geçemez.
- İmha kayıtları: Yapılan silme, yok etme ve anonimleştirme işlemlerinin kayıtları, başka bir yasal yükümlülük yoksa en az üç yıl saklanır.
Yani kanun "kaç gün" demez; "neden ve ne kadar" sorusunun cevabını şirketten ister.
Saklama süresi nasıl belirlenir?
Doğru süre, kaydın neden alındığına göre değişir. Aynı çağrı merkezinde farklı amaçlarla alınan kayıtlar için farklı süreler belirlemek hem mümkün hem de çoğu zaman gereklidir.
1. Kaydı alma amacını yazın
Kalite kontrolü, işlemin ispatı (örneğin bir sipariş iptali ya da abonelik değişikliği), şikâyet yönetimi ve yasal bir yükümlülük ayrı amaçlardır. Kalite kontrolü için alınan bir kaydın yıllarca tutulmasını gerekçelendirmek zordur. Bir sözleşme işleminin ispatı için alınan kayıt ise daha uzun süre gerekebilir.
2. Sektörel mevzuatı kontrol edin
Bankacılık, sigorta, sağlık ve elektronik haberleşme gibi alanlarda kayıtların saklanmasına ilişkin ayrı düzenlemeler bulunabilir. Bu süreler şirketin hukuk ve uyum ekibiyle birlikte, güncel mevzuat üzerinden tespit edilmelidir. Tek bir "sektör standardı" süreyi her şirkete uygulamak doğru değildir.
3. Süreyi politikaya ve envantere işleyin
Belirlenen süre, kayıt türü ve gerekçesiyle birlikte saklama ve imha politikasına yazılır. Aydınlatma metninde de arayan kişiye kaydın hangi amaçla alındığı açıkça anlatılır.
4. İmhayı otomatikleştirin
Süresi dolan kaydı elle aramak sürdürülebilir değildir. Kayıtların saklama süresi oluştuğu anda etiketlenmesi ve periyodik imhada otomatik olarak silinmesi gerekir. Silinen kayıtların da raporu tutulur.
5. Ses kaydını transkriptten ayrı düşünün
Yapay zeka destekli çağrı merkezlerinde tek bir görüşme; ses kaydı, metin dökümü (transkript), özet ve analiz verisi olmak üzere birkaç ayrı iz bırakır. Ses kaydı silinip transkript yıllarca kalıyorsa, kişisel veri silinmiş sayılmaz. Saklama süresi her iz için ayrı ayrı tanımlanmalıdır.
Sık yapılan hatalar
- "Her şeyi süresiz tutalım": Belirsiz süreli saklama, amaçla sınırlılık ilkesine aykırıdır ve bir veri ihlalinde zararı büyütür.
- Yedekleri unutmak: Canlı sistemden silinen kayıt yedeklerde duruyorsa imha tamamlanmamıştır.
- Analiz verisini kapsam dışı saymak: Duygu analizi sonuçları, özetler ve etiketler de kişiyle ilişkilendirilebiliyorsa kişisel veridir.
- Anonimleştirmeyi yanlış anlamak: Sadece adı silmek yetmez; ses ve diğer verilerle eşleştirildiğinde kişi tanınabiliyorsa veri anonim değildir.
- Erişim talebine hazırlıksız olmak: Arayan kişi kendi kaydını istediğinde, Kanun'un 13. maddesine göre talep en geç otuz gün içinde sonuçlandırılmalıdır. Kaydın nerede durduğunu bilmeyen bir yapı bu süreye yetişemez.
- Kaydın dış servislere gitmesi: Ses kaydı ya da transkript, analiz için yurt dışındaki bir yapay zeka servisine gönderiliyorsa, saklama süresini artık tek başına şirket kontrol edemez.
Son madde, yapay zeka çağrı merkezlerinde en çok gözden kaçan noktadır. Bunu verinizin neden kendi sunucunuzda kalması gerektiğini anlattığımız yazıda ayrıntılı ele aldık.
Belzeka'da bunu nasıl ele alıyoruz?
Saklama süresi kâğıt üzerinde değil, sistemin içinde uygulanabildiğinde anlam kazanır. Belzeka'yı bu ilkeyle tasarladık.
Süreyi şirket belirler
Ses kayıtları ve konuşma verileri yalnızca amacın gerektirdiği süre kadar tutulur. Bu süre şirketle birlikte belirlenir ve sonunda veriler güvenli şekilde imha edilir. Veri sorumlusu şirkettir; verinin nerede işlendiğini ve kimin eriştiğini her zaman bilir ve kontrol eder.
Kayıtlar şirketin kendi sunucularında kalır
Belzeka'nın dil modeli, konuşma tanıma, ses üretimi ve bilgi tabanı dahil tüm yapay zeka bileşenleri şirketin kendi sunucularında çalışır. Ses kayıtları, transkriptler ve kişisel veriler sunucu sınırlarının dışına çıkmaz; yurt dışındaki veya üçüncü taraf yapay zeka servislerine gönderilmez. Bu yüzden bir kaydın silinip silinmediği sorusu, başka bir firmanın arşivine bağlı kalmaz.
Ses kayıtları şifreli işlenir
Ses kayıtları uçtan uca şifrelenerek işlenir. Veriler hem iletim hem depolama sırasında şifrelenir; erişim anahtarları merkezi bir kasada yönetilir ve düzenli aralıklarla yenilenir. Yedekleme de düzenli ve şifreli bir stratejiyle yapılır.
Kim, hangi kayda erişebilir?
Rol bazlı yetkilendirmeyle her kullanıcı yalnızca görev tanımı kapsamındaki verilere erişir. Kritik işlemler çok faktörlü kimlik doğrulama ve çift onay gerektirir. Ayrıntılı mimariyi güvenlik sayfamızda bulabilirsiniz.
Her işlem denetlenebilir
Her kritik işlem değiştirilemez denetim kayıtlarına işlenir. Bir kaydın ne zaman oluşturulduğu, kimin eriştiği ve ne zaman imha edildiği sonradan izlenebilir.
Çağrı verisi model eğitiminde kullanılmaz
Şirkete ait çağrı verileri, Belzeka'nın veya üçüncü tarafların yapay zeka modellerini eğitmek için kullanılmaz. Saklama süresi dolan bir kayıt, bir modelin içinde varlığını sürdürmez.
Aydınlatma metni, açık rıza akışları ve VERBİS kayıt yükümlülükleri ise şirketin hukuk ve uyum ekibiyle birlikte yürütülür.
Sıkça Sorulan Sorular
KVKK'da çağrı kayıtları için belirli bir saklama süresi var mı? Hayır, Kanun tek bir süre belirlemez. Kayıt, ilgili mevzuatta öngörülen ya da alınma amacı için gerekli olan süre kadar saklanır; süreyi veri sorumlusu olan şirket gerekçesiyle belirler.
Saklama süresi dolan çağrı kaydı ne zaman silinmeli? Yönetmeliğe göre silme yükümlülüğü doğduktan sonraki ilk periyodik imhada silinmelidir. Periyodik imha aralığı en fazla altı aydır.
Müşteri kendi görüşme kaydını isteyebilir mi? Evet. Çağrı merkezi görüşme kaydı kişisel veridir ve Kurul kararlarında ilgili kişinin kaydın dökümünü talep edebileceği kabul edilmiştir. Arayan kişi kendi verisine erişim talebinde bulunabilir; şirket talebi en geç otuz gün içinde sonuçlandırmalıdır.
Transkript ve çağrı özeti de saklama süresine tabi mi? Evet. Kişiyle ilişkilendirilebilen her iz kişisel veridir. Ses kaydı için belirlenen sürenin transkript, özet ve analiz verileri için de ayrıca tanımlanması gerekir.
Çağrı kayıtlarınızın yaşam döngüsünü birlikte planlayalım
Çağrı merkezinizdeki kayıtların hangi amaçla, ne kadar süre ve nerede tutulduğunu birlikte değerlendirebiliriz. İletişim sayfamızdan bize ulaşabilirsiniz.