Bulut CRM’de kvkk standart sözleşmeler crm: SCC, BCR, taahhüt

Bulut CRM, santral ve WhatsApp entegrasyonlarıyla çalışan acenteler için kvkk standart sözleşmeler crm başlığında net bir satın alma ve sözleşme kontrol listesi sunuyoruz. Yazıyı bitirdiğinizde, tedarikçinizin yurt dışına veri aktarımında hangi yolu (SCC, BCR veya taahhüt+Kurul izni) kullandığını hızlıca doğrulamak ve eksik belgeleri istemek için uygulamaya başlayacağınız bir çerçeveniz olacak.

Bulut CRM, santral ve WhatsApp’ta yurt dışına aktarımın çerçevesi

Bulut CRM, çağrı kayıtları ve WhatsApp mesaj metaverileri gibi veriler kimi kurulumlarda yurt dışında işlenebilir. Bu durumda Kanun’un yurt dışına aktarım hükümlerinden birine dayanmak gerekir. KVKK, yurt dışına aktarım rejimini; yeterlilik kararı, uygun güvenceler (standart sözleşmeler ve bağlayıcı şirket kuralları) ile taahhütname+Kurul izni ve sınırlı istisnalar olarak özetler (KVKK tematik sayfa). Ayrıca, değişiklikler ve geçiş takvimi KVKK duyurusunda paylaşılmıştır; uyum hazırlıklarının tamamlanması gerektiği vurgulanır (KVKK duyurusu).

Yönetmelik, yeterlilik kararlarının ve değişikliklerinin Resmî Gazete ile KVKK sitesinde yayımlanacağını söyler. Bu nedenle, tedarikçi “yeterlilik kararına” dayandığını iddia ediyorsa, ilgili kararın yayımlandığını teyit ederek ilerleyin (KVKK yönetmelikler sayfası). Öte yandan yeterlilik yoksa, uygun güvencelerden standart sözleşmeler veya bağlayıcı şirket kuralları gündeme gelecektir (KVKK duyurusu).

Ayrıca, sürekli olmayan özel durumlar için “arızi” aktarım imkanı sınırlı koşullarla vardır; burada geçici ve tekrar etmeyen nitelik vurgulanır (KVKK yayını). Olağanüstü hallerde ise ilgili kamu kurumunun görüşü alınarak Kurul izniyle aktarım yapılabileceği Yönetmelik hükmü bulunur (Yönetmelik metni).

kvkk standart sözleşmeler crm ile tedarikçi seçimi: yolu belirleme ve kanıtlama

Satın almada ilk adım, tedarikçinin hangi aktarım yoluna dayandığını yazılı kanıtlarıyla görmek. Aşağıdaki kontrol listesi, CRM, santral veya WhatsApp entegrasyonu alırken teker teker işaretleyebileceğiniz şekilde düzenlendi.

Standart sözleşmeler (SCC) kullanılıyorsa

• Uygun şablon mu? KVKK dört şablon yayımladı; taraf rollerine göre doğru olan kullanılmalı. Şablonların amacı, Kanun ve Yönetmelik hükümlerine riayeti sağlamak; Ek I’de aktarım detayları, Ek II’de teknik/idari tedbirler yer alır (KVKK SCC duyurusu; örnek şablon).
• Ek I ve sonraki aktarım: Veri kategorileri, amaçlar, alıcılar ve varsa sonraki aktarım alıcıları açık yazılmalı; alıcı değişirse Ek I güncellenip Kurum’a bildirilir (örnek şablon hükmü).
• Ek II ve tedbir seviyesi: Veri alıcısı en az Ek II’deki teknik/idari tedbirleri almak zorundadır. Aktarım riski ve verinin niteliğine göre detaylandırma bekleyin (örnek şablon hükmü).
• Bildirim ve imza tarihleri: Sözleşme imzalandıktan sonra beş iş günü içinde Kurum’a bildirim yapılır; sürenin tespiti için her iki tarafın imza tarihi sözleşme üzerinde yer almalıdır (KVKK duyurusu).
• Metne müdahale yasağı: Seçimlik/alternatif maddeler dışında ekleme, çıkarma veya değişiklik yapılmamalıdır (KVKK duyurusu).
• Denetim/ispat ve üstünlük: Veri alıcısının denetime izin vermesi ve gerekli bilgi-belgeyi sağlaması gerekir; çelişki halinde SCC hükümleri uygulanır (örnek şablon hükümleri).
• Bildirim modülü kaydı: KVKK, Standart Sözleşme Bildirim Modülü’nü hayata geçirdi ve 2024 yılında 1345 standart sözleşme bildirildiğini paylaştı (KVKK 2024 faaliyet notu). Satın almada bu bildirime dair kanıtı isteyin.
• Bildirim yapılmamasının riski: Kurum bülteninde, süresinde bildirim yapılmaması halinde veri sorumlusu yanında veri işleyen hakkında da idari yaptırım uygulanabileceği not edilir (KVKK bülteni).

Yabancı tedarikçiyle müzakerede, KVKK’nın resmi İngilizce çevirilerine atıf yapabilirsiniz. Yönetmelik ve SCC metinlerine ilişkin çeviri duyurusu yayımlanmıştır (KVKK duyurusu).

BCR (bağlayıcı şirket kuralları) kullanılıyorsa

• Kurul onayı: BCR, çok uluslu grup şirketlerinin yurt dışına aktarımında kullanılan ve Kurul onayına tabi bir uygun güvence yoludur. KVKK, başvuru formu ve yardımcı kılavuz yayımlamıştır; kapsamda veri kategorileri, amaçlar, ilgili kişi grupları ve ülkeler beklenir (KVKK duyurusu ve formlar).
• Güncel örnek: Özel sektörde bir BCR başvurusunun 2026’da onaylandığı duyurulmuştur; bu yolun fiilen kullanıldığını gösterir (Kurul duyurusu).
• Satın alma belgesi: Kurul onay yazısını ve yürürlük kapsamını (grup şirketleri, ülkeler) isteyin; yayımlanan kılavuzlardaki asgari içerik ile karşılaştırın (başvuru formu ve kılavuz).

Taahhütname + Kurul izni kullanılıyorsa

• Başvuru içeriği: İmzacıların yetkisini gösteren belgeler taahhütname ekinde yer almalı; özel nitelikli verilerin aktarımında uygun işlem şartı yoksa yalnızca açık rıza yeterlidir, ancak açık rızaya dayalı yurt dışı aktarımlar taahhütname konusu edilmemektedir. Meşru menfaat varsa, denge testinin olumlu sonucu dokümante edilmelidir (KVKK duyurusu).
• Güncel örnek: Bir taahhütname başvurusunun 2024’te Kurul tarafından kabul edildiği duyurulmuştur (KVKK duyurusu).
• Satın alma belgesi: Kurul onay yazısı, yetki belgeleri (sicil tasdiknamesi/apostil) ve dayanak analizlerini (ör. denge testi) talep edin (KVKK duyurusu).

Yeterlilik kararı varsa

• Resmî kaynak kontrolü: Kararların Resmî Gazete ve KVKK internet sitesinde yayımlanacağı Yönetmelikte belirtilmiştir. Satın almada, kararın metnini ve yayımlandığına dair kaydı tedarikçiden isteyin (KVKK yönetmelikler sayfası).

Sözleşme ve rol uyumu: veri sorumlusu/veri işleyen, alt işleyen

Bulut CRM ve santral çözümlerinde roller net yazılmalı; tedarikçi veri işleyen ise şablon ve sözleşme buna uygun olmalıdır. KVKK’nın yayımladığı şablonlar rol bazlıdır; bu nedenle seçilen SCC’nin tedarikçi rolüyle uyumu önemlidir (KVKK SCC duyurusu).

Alt veri işleyen (sub-processor) kullanımı yaygındır. Bu atamalara ilişkin ön bildirim/izin ve zincirleme yükümlülükler sözleşmede açık olmalıdır. KVKK şablonları alt veri işleyen hükümleri içerir; satın almada bu hükümlerin uygulanabilirliğini kontrol edin (şablon örneği).

Güvenlik tedbirleri, ihlal bildirimi ve sözleşme bitimindeki işlemler, SCC’nin aradığı asgari unsurlar arasındadır. Veri alıcısının uygun teknik/idari tedbirleri alması, ihlalde veri aktaranı gecikmeden bilgilendirmesi ve süreci Kurul usulüne göre yönetmesi; sözleşme sonunda verileri iade veya yok etme prosedürlerini işletmesi beklenir (örnek şablon hükümleri).

Bu çerçevede, kvkk scc, bcr nedir ve kvkk taahhütname gibi başlıklar yalnızca hukuk biriminin değil, satın alma ve operasyon ekibinin de gündeminde olmalıdır. Aksi halde, sözleşme doğru kurulsa bile değişikliklerin izlenmesi ve ispat yükümlülüğü sahada aksamaya başlar.

Denetim, ispat ve operasyon: acente için pratik bir plan

Sözleşmenin rafta kalmaması için basit bir işletim planı kurun. Önce, dosya düzeyinde tedarikçi başına “aktarımı dayandırdığı yol” klasörü açın ve SCC/BCR/taahhüt/yeterlilik kararlarını kanıtlarıyla yerleştirin. Ardından, aşağıdaki dört başlık için kısa kontrol akışları yazın.

• Bildirim ve kayıt: SCC bildiriminin yapıldığını kanıtlayan çıktıyı alın. İmza tarihleri sözleşme üzerinde görünür mü bakın; satır içi kontrol listesi hazırlayın (KVKK duyurusu). Kurum’un Standart Sözleşme Bildirim Modülü’nden yapılan bildirimlerin 2024’te 1345 adede ulaştığı bilgisi, kayıt disiplini gerektiğini de gösterir (KVKK 2024 faaliyet notu).
• Sonraki aktarım ve alt işleyenler: Alıcı listesi değişirse Ek I güncellenecek ve Kurum’a bildirilecektir; tedarikçi tarafında bu sürecin nasıl izlendiğini sorun (örnek şablon hükmü).
• Denetim ve ispat: Denetim hükmünün işletilebilir olduğundan emin olun; tedarikçi bilgi-belge sağlama taahhüdünü nasıl yerine getirecek, takvimi kim tutacak, netleştirin (örnek şablon hükümleri).
• Arızi ve olağanüstü haller: Uygun güvence sağlanamıyorsa, “arızi” aktarım koşullarının sınırlı ve geçici olduğunu hatırlayın; olağanüstü hallerde ise ilgili kurum görüşü ve Kurul izni gerekir (KVKK yayını; Yönetmelik metni).

Bu plan, acentede sözleşme sahipliğini de netleştirir. CRM’den gelecek değişiklik duyuruları, santral sağlayıcısının alt işleyen güncellemeleri ve WhatsApp entegrasyonu tarafındaki API değişiklikleri tek yerden izlenebilir. Gerektiğinde, KVKK’nın “Seçilmiş Güncel Gelişmeler” sayfasını düzenli kontrol edip mevzuat güncellemelerini yakalayın (KVKK güncel gelişmeler).

Sigorta portföyü bağlamı: hangi veriler ve nerede hassasiyet var?

Trafik ve kasko gibi yenileme odaklı ürünlerde, CRM’de müşteri iletişim bilgileri, teklif/poliçe bağlamındaki veriler ve santral kayıtları tipik olarak işlenir. WhatsApp entegrasyonunda mesaj metaverileri ve iletim günlükleri söz konusu olabilir. Bu veri kategorileri yurt dışına aktarılıyorsa, Kanun’un yurt dışına aktarım yollarından biriyle hareket etmek gerekir (KVKK genel çerçeve).

Operasyonel düzende, yenileme yaklaşırken hangi kanalla ve ne zaman iletişim kurulacağı iş akışında sabitlenmeli; iletişim izinleri ve KVKK yükümlülükleriyle uyumlu kalınmalıdır. WhatsApp tarafında pratik noktaları derlediğimiz yazıya göz atabilirsiniz: Acentede WhatsApp ile müşteri takibi: 24 saat kuralı, şablonlar ve KVKK. Ayrıca sürecin bütününü görmek için Sigorta yenileme takibi nasıl yapılır? ve WhatsApp özelindeki aktarım adımları için WhatsApp KVKK yurt dışına aktarım: acente için yol haritası yazıları yardımcı olacaktır.

Son olarak, tedarikçi güvenlik uygulamalarını ve veri yerleşimini açıklayan sayfaları sakince okuyun. Acentenize uygun bir çerçeve ararken güvenlik yaklaşımımızı da buradan inceleyebilirsiniz: /security. Bu sayede, sözleşme hükümlerini günlük operasyonla eşleştirirken teknik tedbirlerin gerçekliğini görmek kolaylaşır.

Hızlı referans: satın alma ve sözleşme denetimi kontrol listesi

• Aktarım yolu: Tedarikçinin SCC, BCR, taahhüt+Kurul izni veya yeterlilik kararından hangisine dayandığını yazılı belgelerle kanıtlayın (KVKK rehber; KVKK duyurusu).
• SCC’de: Doğru şablon, eksiksiz Ek I/Ek II, metne müdahale yasağı ve beş iş günü bildirim; denetim ve üstünlük hükümleri; bildirimin yapıldığına dair kanıt (KVKK duyurusu; örnek şablon).
• BCR’de: Kurul onay yazısı ve kapsam; yayımlanan formlardaki asgari içerikle uyum (başvuru formu ve kılavuz; onay örneği).
• Taahhütte: Kurul onay yazısı, yetki belgeleri ve dayanakların belgelenmesi; açık rızaya dayalı aktarımların taahhütname konusu edilemeyeceğini akılda tutun (KVKK duyurusu; örnek onay).
• Yeterlilik kararında: Resmî Gazete ve KVKK’da yayımlanan kararın güncelliğini ve kapsamını kontrol edin (KVKK yönetmelikler sayfası).

Uyum bir risk yönetimi işi; bu nedenle “sözleşme metnini almak” ile “işletmek” arasındaki farkı kapatmak gerekir. Yukarıdaki kontrol başlıklarını acente prosedürlerinize uyarladığınızda, kvkk standart sözleşmeler crm beklentileriyle günlük yenileme operasyonunu aynı anda taşıyabilirsiniz. Ayrıca, yurt dışına veri aktarımı içeren entegrasyonlarda tedarikçi bildirimi ve değişiklik takibi için bir sahip atamak, az eforla büyük kazanım getirir.