Son güncelleme: 11 Kasım 2026
Evet, olabilir. Kişisel Verilerin Korunması Kanunu’na (KVKK) tabi bir veri sorumlusu veya veri işleyen, kişisel verileri yurt dışındaki başka bir veri sorumlusunun ya da veri işleyenin erişimine açarsa, salt okunur destek erişimi dahi yurt dışına aktarım sayılabilir. CRM veritabanı oturum boyunca Türkiye’de kalabilir. Önce erişimi hangi tüzel kişinin aldığını, hangi verileri görebildiğini ve bu verileri kimin erişime açtığını belirleyin.
İstanbul’daki bir perakendecinin Türkiye’deki bir SaaS şirketinin işlettiği CRM’i kullandığını düşünün. Veritabanı ve yedekler Türkiye’de barındırılıyor. Müşteri kayıtları eşitlenmeyince destek talebi SaaS şirketinin Berlin’deki grup şirketine yönlendiriliyor. Türkiye’deki SaaS şirketi, Berlin’deki bir mühendise canlı ortama bir saatliğine salt okunur erişim veriyor. Mühendis, müşteri adlarını ve e-posta adreslerini görebiliyor ve herhangi bir dosya indirmeden sorunun kaynağını buluyor.
Bu örnekte perakendeci, müşteri verilerinin CRM’de hangi amaçla kullanılacağına karar verdiği için bu işleme faaliyetinin veri sorumlusudur. Türkiye’deki SaaS şirketi CRM’i perakendecinin talimatları doğrultusunda işleten veri işleyendir. SaaS şirketi kayıtları sorun giderme amacıyla Berlin’deki ayrı tüzel kişiliğe sahip grup şirketine açtığında bu akışta veri aktaran olur. Berlin’deki grup şirketi ise perakendeci adına alt veri işleyen sıfatıyla hareket eden veri alıcısıdır. Bu koşullarda kayıtların uzaktan görüntülenmesi, KVKK’nın yurt dışına aktarım hükümleri kapsamına girer.
Kişisel verilerin yurt dışına aktarılmasına ilişkin rehber üç ölçüt ortaya koyar. Veri aktaran, söz konusu işleme faaliyeti bakımından KVKK’ya tabi bir veri sorumlusu veya veri işleyen olmalıdır. Kişisel verileri iletmeli veya başka bir yolla erişilebilir hâle getirmelidir. Alıcı ise kendisi KVKK’ya tabi olsun veya olmasın, yurt dışında bulunan başka bir veri sorumlusu ya da veri işleyen olmalıdır.
Canlı ortamdaki kayıtları görebilen bir destek hesabına erişim yetkisi vermek, verileri erişilebilir kılma ölçütünü karşılayabilir. Ekran paylaşımı da kişisel verileri erişilebilir hâle getirebilir. Arama sonuçları, destek talebi önizlemeleri ve tanılama ekranları dâhil olmak üzere, hesabın veya oturumun gerçekte hangi verileri gösterdiğini kontrol edin.
Mühendisin işvereni bu değerlendirmeyi değiştirir. Berlin’deki mühendis Türkiye’deki aynı tüzel kişinin çalışanıysa ve yalnızca o şirketin yetkisi altında hareket ediyorsa, oturum tek başına rehberdeki ayrı veri alıcısı ölçütünü karşılamayabilir. Yine de kullanılan diğer araçları ve sağlayıcıları inceleyin, yurt dışından erişimin güvenliğini değerlendirin. Mühendis ayrı bir grup şirketinin veya dış kaynak destek sağlayıcısının çalışanıysa, aynı markayı, e-posta alan adını veya oturum açma sistemini kullansalar bile bu şirketin veri alıcısı olup olmadığını değerlendirin.
Doğrudan destek sözleşmesi, veri aktaranın kim olduğunu değiştirebilir. CRM erişimini yabancı destek sağlayıcısına perakendecinin kendisi veriyorsa ve sağlayıcı perakendecinin talimatlarıyla çalışıyorsa, veri sorumlusundan veri işleyene bir aktarım söz konusu olabilir. Her kullanım için tarafları ve rollerini belirleyin. Örneğin sağlayıcı destek talebindeki verileri kendi amaçları için kullanıyorsa, o kullanımdaki rolünü ayrıca değerlendirin.
Gerçek bir destek talebini açılışından çözümüne kadar izleyin. CRM’in barındırma ayarları, destek platformunda, ekran paylaşımı sırasında veya bir mühendisin indirme klasöründe neler olduğunu göstermez.
Aktarım niteliğindeki düzenli bir destek akışı için önce 5. maddede, özel nitelikli kişisel veriler söz konusuysa 6. maddede yer alan uygulanabilir işleme şartını belirleyin. Ardından 9. maddedeki yolları sırasıyla değerlendirin.
Erişimi açmadan önce sektöre özgü kuralları inceleyin. Örneğin, Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik, bankaların birincil ve ikincil sistemlerini Türkiye’de bulundurmasını zorunlu kılar ve banka içi uygulama ve sistemlere uzaktan erişimi ayrıca düzenler. Bankalar ve onlara hizmet veren sağlayıcılar, bu kuralların ilgili sistem ve destek düzeni için nasıl uygulanacağını değerlendirmelidir.
Genel çerçeve için işletmeler için KVKK uyum rehberine bakabilirsiniz.
Mümkünse sentetik test verileriyle veya kişisel verilerden arındırılmış tanılama kayıtlarıyla başlayın. Canlı ortama erişim gerekiyorsa mühendise çok faktörlü kimlik doğrulamayla korunan, kişiye özel bir hesap verin. Erişimi belirli bir destek talebi için onaylayın, gerekli alan ve işlemlerle sınırlandırın ve süresi dolduğunda otomatik olarak kapatın. Mümkün olduğunda dışa aktarmayı, panoya kopyalamayı ve oturum kaydını sınırlandırın. Oturumu kimin onayladığını, ne zaman gerçekleştiğini ve veri dışa aktarılıp aktarılmadığını kaydedin. Denetim günlüklerinde kişisel veri varsa bu akışı da ayrıca inceleyin.
Bir CRM veya destek platformu için şu kayıtları bir araya getirin:
Tek bir sistemle başlayın. Türkiye dışından kişisel verilere kimlerin, kimin adına erişebildiğini listeleyin. Ardından yakın tarihli bir destek talebi seçin ve gerçekleşen erişimle oluşan kayıtları listenizle karşılaştırın. Bu akışları haritalandırmak ve düzeltmelere öncelik vermek için Kooch’un KVKK ve GDPR Boşluk Analizi hizmetini inceleyebilirsiniz.
