Instagram DM Otomasyonu KVKK'ya Uygun mu? Aydınlatma Metni Örneği
Saat 23.40. Bir müşteri kliniğinizin Instagram hesabına yazıyor: "Merhaba, adım Elif, telefonum 0532..., yarın için randevu var mı?" Yapay zeka asistanınız saniyeler içinde yanıt veriyor, uygun saati öneriyor, numarayı kaydediyor. Müşteri memnun, siz uyurken randevu oluştu.
Ama sabah aklınıza bir soru takılıyor: Bu konuşmada bir ad, bir telefon numarası ve bir randevu bilgisi işlendi. Peki DM otomasyonu KVKK açısından nerede duruyor? Asistan bu verileri nereye gönderiyor, müşteriye ne söylemeniz gerekiyor?
Kısa cevap: Instagram DM otomasyonu kendi başına KVKK'ya aykırı değil. Belirleyici olan, verinin nasıl toplandığı, nereye aktarıldığı ve kişinin nasıl bilgilendirildiği. Bu yazıda konuyu işletme sahibinin gözünden ele alıyor ve uyarlayabileceğiniz bir aydınlatma metni örneği paylaşıyoruz.
Not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kendi süreçleriniz için bir KVKK uzmanına danışmanızı öneririz.
DM Otomasyonu KVKK'ya Uygun mu? Kısa Cevap
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bir teknolojiyi yasaklamaz; kişisel verinin işlenme biçimini düzenler. Müşterinin DM'de yazdığı ad, telefon, randevu tarihi veya teslimat adresi kişisel veridir. Bu mesajı ister bir çalışanınız okusun ister yapay zeka asistanı yanıtlasın, veri sorumlusu işletmenizdir.
Yani asıl soru "otomasyon kullanabilir miyim?" değil, "otomasyonu kurarken hangi yükümlülükleri yerine getirmeliyim?" sorusudur. Temel başlıklar dört tane: hukuka uygun işleme şartı, aydınlatma yükümlülüğü, yurt dışına aktarım ve veri güvenliği. KVKK Kurumu da sohbet robotları hakkında yayımladığı bilgi notunda ve Kasım 2025'te yayımladığı "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi"nde bu başlıkların altını çiziyor.
Yapay zeka asistanının ne olduğunu ve klasik bottan farkını henüz netleştirmediyseniz, önce Instagram asistan nedir rehberimize göz atabilirsiniz.
Instagram DM'de Hangi Kişisel Veriler İşleniyor?
Otomasyon kurmadan önce hangi verinin aktığını bilmek gerekir. Tipik bir işletme DM kutusunda şu veri grupları yer alır:
Kimlik ve iletişim: ad-soyad, Instagram kullanıcı adı, telefon numarası, e-posta.
İşlem bilgisi: randevu tarihi ve saati, sipariş içeriği, teslimat adresi.
Mesaj içeriği: müşterinin yazdığı serbest metin, gönderdiği fotoğraf veya sesli mesaj.
Özel nitelikli veri riski: klinik, diyetisyen veya psikolog gibi işletmelerde müşteri kendiliğinden sağlık bilgisi yazabilir.
Son madde kritik. KVKK'nın 6. maddesi sağlık verisini özel nitelikli kişisel veri sayar ve daha sıkı şartlara bağlar. Sağlık alanındaki işletmeler için pratik yaklaşım şu: asistan sağlıkla ilgili ayrıntı istemez, yalnızca randevu ve operasyon bilgisini toplar, gerisini yüz yüze görüşmeye bırakır. Bu yaklaşımı psikologlar için Instagram randevu sistemi yazımızda da ele aldık.
Hangi Hukuki Sebebe Dayanıyorsunuz?
KVKK'nın 5. maddesi, kişisel verinin hangi durumlarda açık rıza aranmadan işlenebileceğini sayar. DM'den gelen bir randevu veya sipariş talebinde en sık dayanılan şart, "bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması"dır: müşteri randevu istiyor, siz de randevuyu oluşturmak için adını ve telefonunu işliyorsunuz.
Açık rıza her şeyin ilacı değildir. Gerekmeyen yerde açık rıza istemek, sanki işlem rızaya bağlıymış gibi yanlış bir izlenim yaratır. Açık rıza genellikle konuşma verisini asıl amacın dışında kullanmak gibi durumlarda gündeme gelir. Pazarlama amaçlı mesajlar için ayrıca 6563 sayılı Kanun kapsamındaki ticari ileti kurallarını da değerlendirmek gerekir.
Buradaki ince nokta: aydınlatma ile açık rıza aynı şey değildir. Kişisel Verileri Koruma Kurulu 2018/90 sayılı kararında bu iki sürecin ayrı yürütülmesi gerektiğini belirtmişti; 2026'da yayımlanan ilke kararıyla da iki metnin ayrı düzenlenmesi gerektiği yeniden vurgulandı. Aydınlatma metninin altına "okudum, onaylıyorum" kutusu koymak bu nedenle doğru bir tasarım değildir.
Yurt Dışına Aktarım: Yapay Zeka Sunucuları Nerede?
DM otomasyonu KVKK tartışmasının en az konuşulan ama en önemli boyutu budur. Instagram mesajları zaten Meta altyapısında işlenir. Bunun üzerine bir yapay zeka asistanı eklediğinizde mesaj içeriği otomasyon aracının sunucularına ve bir dil modeli sağlayıcısına da gidebilir. Bu sunucular çoğunlukla Türkiye dışındadır.
7499 sayılı Kanunla 2024'te değiştirilen KVKK'nın 9. maddesi yurt dışına aktarımı yeniden düzenledi. Yeterlilik kararı yoksa en yaygın yol, Kurul'un ilan ettiği standart sözleşmelerdir ve imzalanan standart sözleşme imza tarihinden itibaren beş iş günü içinde Kurum'a bildirilmelidir. Açık rıza ise yalnızca arızi, yani düzenli olmayan aktarımlar için istisnai bir yol olarak kaldı.
İşletme olarak yapmanız gereken, otomasyon sağlayıcınıza şu soruları yazılı olarak sormak: Veriler hangi ülkede işleniyor? Hangi alt işleyiciler kullanılıyor? Standart sözleşme imzalanıyor mu, bildirimi kim yapıyor? Konuşmalar model eğitimi için kullanılıyor mu? Bu soruları otomasyon programı seçerken bakılacak kriterler listenize mutlaka ekleyin.
Adım Adım: DM Otomasyonunu KVKK'ya Uygun Kurmak
Veri envanteri çıkarın: Asistanın hangi verileri toplayacağını yazın. Randevu için ad ve telefon yeterliyse kimlik numarası veya doğum tarihi istemeyin.
Hukuki sebebi eşleştirin: Her veri türü için neden işlediğinizi belirleyin (örneğin randevu oluşturma → sözleşmenin kurulması veya ifası).
Sağlayıcıyı sorgulayın: Sunucu konumu, alt işleyiciler, saklama süresi ve model eğitimi politikasını yazılı olarak isteyin.
Sözleşmeyi netleştirin: Otomasyon firması sizin adınıza veri işliyorsa rolleri ve güvenlik tedbirlerini tanımlayan bir sözleşme yapın; yurt dışı aktarım varsa standart sözleşme sürecini açıklığa kavuşturun.
Aydınlatma metnini yayınlayın: Metni web sitenize koyun; biyografideki link alanından veya asistanın ilk mesajından ulaşılabilir olsun.
Asistanın sınırlarını çizin: Kart bilgisi, kimlik numarası ve sağlık ayrıntısı istememesini, müşteri bunları yazarsa konuşmayı insana devretmesini tanımlayın.
Saklama süresi belirleyin: Konuşma kayıtlarını ne kadar tutacağınıza karar verin; süre dolunca silin veya anonimleştirin.
Başvuru kanalı açın: Müşterinin "verilerimi silin" talebini nasıl karşılayacağınızı belirleyin. Kanun'un 13. maddesi başvurulara en geç otuz gün içinde yanıt verilmesini öngörür.
VERBİS kayıt yükümlülüğü ise çalışan sayısı, yıllık bilanço büyüklüğü ve faaliyet alanına göre değişir; özellikle sağlık verisi işleyen işletmeler kendi durumlarını ayrıca kontrol etmelidir.
Aydınlatma Metni Örneği (DM Asistanı İçin)
Aşağıdaki şablon, Instagram DM üzerinden randevu veya sipariş alan küçük bir işletme için başlangıç noktasıdır. Köşeli parantezleri kendi bilgilerinizle doldurun ve yayına almadan önce bir hukukçuya kontrol ettirin.
Instagram Mesajlaşma Kanalına İlişkin Aydınlatma Metni
[İşletme Unvanı] ("İşletme") olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusu sıfatıyla, Instagram Direct Mesaj kanalı üzerinden bizimle iletişime geçtiğinizde kişisel verilerinizi aşağıda açıklandığı şekilde işliyoruz.
İşlenen veriler: Instagram kullanıcı adınız; mesajlarınızda paylaştığınız ad-soyad, telefon numarası, randevu veya sipariş bilgileri ve mesaj içerikleri.
İşleme amaçları: Sorularınızı yanıtlamak, randevu veya sipariş talebinizi oluşturmak ve takip etmek, hatırlatma göndermek ve hizmet kalitemizi iyileştirmek.
Toplama yöntemi ve hukuki sebep: Verileriniz Instagram mesajlaşma kanalı üzerinden elektronik ortamda ve kısmen otomatik yollarla (yapay zeka destekli mesaj asistanı) toplanır; KVKK md. 5/2-c (sözleşmenin kurulması veya ifası) ve md. 5/2-f (meşru menfaat) hukuki sebeplerine dayanılarak işlenir.
Aktarım: Verileriniz, mesajlaşma altyapısını sağlayan Meta Platforms ve hizmet aldığımız yazılım ve yapay zeka sağlayıcılarıyla KVKK md. 8 ve md. 9'daki şartlara uygun olarak paylaşılabilir. Bu sağlayıcıların sunucuları yurt dışında bulunabilir; yurt dışına aktarımlar Kanun'un 9. maddesinde öngörülen güvencelerle yapılır.
Saklama: Mesaj kayıtları [X ay] süreyle saklanır; sürenin sonunda silinir veya anonim hale getirilir.
Haklarınız: KVKK md. 11 kapsamındaki haklarınızı (verilerinize erişme, düzeltilmesini veya silinmesini talep etme, itiraz etme vb.) kullanmak için [e-posta adresi] üzerinden bize başvurabilirsiniz.
Asistanın ilk mesajına kısa bir bilgilendirme eklemek de işe yarar: "Merhaba! Ben [İşletme]'nin dijital asistanıyım. Mesajlarınız randevu ve sipariş işlemleri için işlenir. Aydınlatma metnimiz: [link]". Uzun metni DM'e yapıştırmak yerine link vermek okunabilirliği korur.
Örnek DM Diyalogları: Asistan Hassas Veriyle Nasıl Başa Çıkar?
DM otomasyonu KVKK uyumu yalnızca metinle değil, asistanın davranışıyla da ilgilidir. İki örnek:
Müşteri: "Kart numaram 5401... bununla kapora yatırabilir miyim?"
Asistan: "Güvenliğiniz için kart bilgilerinizi DM'den paylaşmamanızı rica ederiz. Kaporayı size ileteceğimiz güvenli ödeme bağlantısı üzerinden yapabilirsiniz."
Müşteri: "Geçen ay ameliyat oldum, dikişlerim hâlâ açık, bu hafta randevu alabilir miyim?"
Asistan: "Geçmiş olsun! Durumunuzu en doğru şekilde değerlendirebilmemiz için sizi ekibimize yönlendiriyorum; bir temsilcimiz uygun saatler için size dönüş yapacak."
İkinci örnekte asistan sağlık ayrıntısını sorgulamıyor, yorum yapmıyor ve konuşmayı insana devrediyor. Mesai dışında gelen böyle bir mesaja ne zaman dönebileceğinizi planlarken Instagram'ın 24 saat kuralını da hesaba katın.
Meta Araçları, Hazır Botlar ve Yapay Zeka Asistanı: KVKK Açısından Fark
Hangi aracı seçtiğiniz, veri akışının kaç halkadan geçeceğini belirler:
Meta'nın yerleşik otomatik yanıtları: Veri Meta altyapısında kalır ancak esneklik sınırlıdır; toplama ve saklama Meta'nın politikalarına tabidir. Kurulum için Meta Business Suite otomatik yanıt rehberine bakabilirsiniz.
Kural tabanlı üçüncü taraf botlar: Veri bot sağlayıcısının sunucularına da gider; sunucu konumu ve sözleşme sorulmalıdır.
Yapay zeka asistanları: Mesaj içeriği işlenmek üzere bir dil modeline de gönderilir; alt işleyici zinciri ve model eğitimi politikası ayrıca netleşmelidir.
Hiçbiri kendiliğinden "uyumlu" ya da "uyumsuz" değildir. Belirleyici olan, sağlayıcının şeffaflığı ve sizin kurduğunuz süreçtir. Maliyet tarafını da karşılaştırmak isterseniz Instagram DM otomasyonu fiyatları yazımız ayrıntılı bir döküm sunuyor.
Sık Sorulan Sorular
DM otomasyonu için müşteriden açık rıza almak zorunlu mu?
Her durumda değil. Randevu veya sipariş talebini karşılamak için gereken veriler çoğu zaman sözleşmenin kurulması veya ifası şartına dayanabilir. Verinin farklı bir amaçla kullanılması veya bazı yurt dışı aktarım senaryolarında açık rıza gündeme gelebilir; kendi durumunuzu bir uzmanla değerlendirin.
Aydınlatma metnini DM'e yapıştırmam gerekir mi?
Kanun belirli bir format dayatmıyor; önemli olan kişinin veri toplanırken bilgilendirilmesi ve metne kolayca ulaşabilmesi. Pratikte asistanın ilk mesajında kısa bir not ve metne link vermek yeterince açık ve okunur bir çözümdür.
Yapay zeka sağlayıcısı konuşmalarımı model eğitimi için kullanır mı?
Sağlayıcıya ve sözleşmeye göre değişir. Bunu yazılı olarak sorun; müşteri verilerinin model eğitimine gitmediği bir yapı, hem KVKK hem de müşteri güveni açısından daha sağlıklıdır.
Müşteri "mesajlarımı silin" derse ne yapmalıyım?
Talebi kayıt altına alın, kendi sistemlerinizdeki ve otomasyon aracındaki kayıtları silin veya anonimleştirin, en geç otuz gün içinde yanıt verin. Instagram uygulamasındaki mesaj geçmişinin Meta'nın kendi araçlarıyla yönetildiğini de yanıtınızda belirtin.
Sonuç: Uyum, Güvenin Bir Parçası
DM otomasyonu KVKK ile çelişmez; doğru kurulduğunda müşteriye daha hızlı, daha düzenli ve daha şeffaf bir deneyim sunar. Kilit nokta; hangi veriyi neden topladığınızı bilmek, sağlayıcınızın veriyi nerede işlediğini sormak ve müşterinizi açık bir dille bilgilendirmek.
InstaAssist ile DM asistanınızı kurarken hangi bilgilerin toplanacağını, hangi durumlarda konuşmanın ekibinize devredileceğini ve veri akışını birlikte konuşabiliriz. DM kutunuzu hem hızlı hem kontrollü bir satış ve randevu kanalına çevirmek isterseniz 15 dakikalık demo görüşmesi planlayın.
Yorumlar