İşletmede WhatsApp: hızlı – ve düzenli.

WhatsApp hızlıdır, ekstra bir maliyeti yoktur ve herkes kullanabilir. Bu yüzden ustalar, saha ekipleri, temizlik şirketleri, site yönetimleri ve evde bakım hizmetleri onu aynı şekilde kullanıyor. Ama mesajlaşma uygulaması iş için kullanıldığı anda veri koruma kuralları devreye girer – ve sorumluluk tek tek çalışanda değil, işletmededir. AB’de faaliyet gösteren ya da AB’deki kişilerin verilerini işleyen işletmeler için bu, Genel Veri Koruma Tüzüğü’dür (GDPR); Türkiye’deki şirketler ayrıca KVKK’ya da uymak zorundadır. İyi haber: Net bir ayrım, birkaç ayar ve ekip için yazılı kurallarla en büyük riskleri belirgin şekilde azaltabilirsin.

Veri koruma kuralları neden geçerli?

Veri koruma kuralları kişisel verileri korur – yani bir kişiyle ilişkilendirilebilecek her şeyi: ad, telefon numarası, adres, ama aynı zamanda kapı zilinin fotoğrafı ya da sesi tanınan bir sesli mesaj. Arkadaşlar arasında özel yazışmada bunun pek önemi yoktur. Ama WhatsApp’ı işletmen için kullanıyorsan, şirket olarak “veri sorumlusu” sensin ve hangi verileri, ne amaçla, hangi hukuki dayanakla işlediğini ve nasıl koruduğunu açıklayabilmelisin. Çalışanlar kendi telefonlarını kullansa bile bu geçerlidir.

Asıl sorun: rehber eşitleme

En hassas nokta çoğu zaman sohbetin kendisi değil, telefon rehberidir. WhatsApp’ın kişilere erişimi varsa, rehberdeki telefon numaraları hizmet sağlayıcıya aktarılır – WhatsApp kullanmayan ve buna hiç onay vermemiş kişilerinkiler de. İş ortamında bunu savunmak zordur. Tipik çözümler şunlardır:

• —Telefon ayarlarında WhatsApp’ın kişilere erişimini kapatmak ve sohbetleri numara üzerinden başlatmak.
• —Şirket telefonuna yalnızca WhatsApp üzerinden iletişime onay veren kişileri kaydetmek.
• —İş kişilerini ayrı bir alanda tutmak, örneğin birçok akıllı telefonun sunduğu iş profiliyle – emin değilsen BT hizmet sağlayıcına danış.

WhatsApp mı, WhatsApp Business mı?

Müşteri iletişimi için WhatsApp Business genellikle daha iyi bir seçimdir. Adres ve çalışma saatlerini içeren bir işletme profili alırsın, otomatik yanıtlar ve hızlı yanıtlar tanımlayabilir, sohbetleri etiketlerle düzenleyebilirsin. Ama en önemlisi, işi kişisel WhatsApp’ından temiz şekilde ayırırsın. Veri korumadaki temel sorunu Business uygulaması tek başına çözmez: Burada da rehber erişimini kontrol etmeli ve net kurallar koymalısın. Çok sayıda talep alan büyük ekipler için ayrıca genellikle uzman hizmet sağlayıcılar aracılığıyla bağlanan WhatsApp Business Platform da var.

Şirket telefonu mu, kişisel telefon mu?

En temiz yol, yalnızca iş için kullanılan bir şirket telefonudur. O zaman kişiler ve sohbetler işletmeye ait olur, ayarları sen belirlersin ve biri şirketten ayrıldığında cihaz yerinde kalır. Ekibin kişisel telefonlarını kullanıyorsa (“Bring your own device”), iş zorlaşır: Hangi verinin nereye gittiğini pek kontrol edemezsin, kişisel ve iş kişileri birbirine karışır. Kişisel cihazlar kaçınılmazsa, en azından hangi verilerin orada olmaması gerektiğini ve işten ayrılırken ne olacağını yazılı olarak belirle.

Onay ve bilgilendirme

Bir müşteri sana kendisi WhatsApp’tan yazıyorsa, bu yoldan iletişim kurmak istediğinin açık bir işaretidir. Yine de şeffaf olmalısın: Gizlilik politikanda WhatsApp’tan bahset, her zaman telefon ya da e-posta gibi bir alternatif sun ve numarası sistemde kayıtlı diye kimseye sormadan WhatsApp’tan yazma. Reklam mesajları için açık onay gerekir. Çalışanlar için de şu geçerli: Kimse iş için ulaşılabilir olmak adına kişisel telefonuna WhatsApp yüklemeye zorlanmamalı.

Bir WhatsApp sohbetine asla girmemesi gerekenler

Bazı veriler o kadar hassastır ki, tüketiciye yönelik bir mesajlaşma uygulamasıyla hiç gönderilmemelidir. Bunlar şunlardır:

• —Sağlık verileri – teşhisler, gerekçeli hastalık bildirimleri, ilaçlar, tahlil sonuçları, yara fotoğrafları
• —Banka bilgileri, kredi kartı numaraları ve hesap giriş bilgileri
• —Kimlik ve pasaport kopyaları
• —Maaşlar, ihtarlar ya da başvuru belgeleri gibi personel dosyaları
• —Müşterilerin şifreleri, alarm kodları ve anahtar saklama yerleri

GDPR sağlık verileri konusunda özellikle katıdır (GDPR Madde 9). Evde bakımda ya da bir muayenehanede çalışıyorsan, hasta ve danışan iletişimi için bu amaçla öngörülen yolları kullanmalısın – örneğin ülkendeki sağlık sistemi için onaylanmış güvenli mesajlaşma çözümlerini.

Günlük işte işleyen ekip kuralları

Çoğu veri ihlali kötü niyetten değil, kolaycılıktan olur: Hasar fotoğrafı hızlıca büyük ekip grubuna gider, acele olduğu için kapı kodu sohbete düşer. Kimsenin okumadığı yirmi sayfalık bir belgeden çok, net ve kısa kurallar işe yarar. Kendini kanıtlamış kurallar:

1. 01Müşteriler için kişisel numaradan ayrı bir şirket numarası.
2. 02Gruplar sadece gerektiği kadar büyük – herkes için tek grup yerine şantiye, rota ya da bina başına bir grup.
3. 03Fotoğraf ve belgeleri kısa sürede iş dosyasına aktar ve sohbetten sil.
4. 04Sohbete hassas veri yok – onun yerine ara ya da güvenli bir kanal kullan.
5. 05Sohbetlerin otomatik bulut yedeklemelerini kontrol et ve açık kalıp kalmayacağına bilinçli karar ver.
6. 06Tüm şirket telefonlarında ekran kilidi ve mümkünse uzaktan silme.
7. 07İşten ayrılırken: gruplardan çık, şirket sohbetlerini devret, şirket telefonunu iade et.

Veri minimizasyonu: az, daha güvenlidir

Veri korumanın temel ilkelerinden biri veri minimizasyonudur: Yalnızca amaç için gerçekten gerekeni işle, artık gerekmeyeni sil. WhatsApp için bu çok pratik bir anlam taşır: Her sesli mesajın aylarca sohbette durması gerekmez. Önemli olan asıl sistemine aittir – iş dosyası, müşteri kartı, iş yazılımı –, sohbet ondan sonra temizlenebilir. Sohbetlerini düzenli temizleyen biri, telefon kaybolduğunda da daha az şey kaybeder.

WhatsApp çevresindeki hizmetler: veri işleme sözleşmesini unutma

Sohbetlerindeki içerikleri işleyen ek hizmetler kullanıyorsan – örneğin transkripsiyon, destek talep sistemleri ya da müşteri hizmetleri platformları için –, bu sağlayıcılar kişisel verileri senin adına işler. GDPR kapsamında bunun için genellikle Madde 28 uyarınca bir veri işleme sözleşmesi (DPA) gerekir. Ayrıca verilerin nerede işlendiğine, saklanıp saklanmadığına ve ne kadar süre saklandığına dikkat et. Ciddi bir sağlayıcı bu sorulara dolandırmadan cevap verir.

Bir örnek Summarize.One: Sesli mesajlar ve özetler yalnızca işlenir ve hemen ardından silinir, hizmet için gerekli olanlar AB’deki sunucularda bulunur ve Business planında bir veri işleme sözleşmesi alırsın. Önemli: Veri tasarruflu bir ek hizmet, WhatsApp kullanımını otomatik olarak GDPR’a ya da KVKK’ya uygun hale getirmez. Yukarıdaki kurallara yine de ihtiyacın var.

Bir bakışta

Şablon: Ekip için WhatsApp yönergesi

Bu şablonu kopyalayabilir, işletmene göre uyarlayabilir ve ekibe imzalatabilirsin. Okunsun diye bilerek kısa tutuldu. Emin değilsen veri koruma sorumlusuna kontrol ettir.

[Şirket adı] için mesajlaşma yönergesi
Tarih: [Tarih]

1. Cihazlar
İş iletişimini [şirket telefonları / şirket numarasıyla WhatsApp Business] üzerinden yürütürüz. Kişisel numaralardan müşteri iletişimi öngörülmemiştir.

2. Kişiler
Şirket telefonlarında WhatsApp’ın [rehbere erişimi yoktur / yalnızca onay vermiş kişilere erişimi vardır].

3. Gruplar
Gruplar yalnızca [iş / rota / bina] başına açılır. Artık dahil olmayan kişi gruptan çıkar.

4. Sohbete girmeyecekler
Sağlık verileri, banka ve giriş bilgileri, kimlik kopyaları, personel dosyaları, kapı kodları ve anahtar saklama yerleri. Bu tür bilgiler için ararız ya da [güvenli kanal] kullanırız.

5. Arşivleme ve silme
Fotoğraflar, ölçüler ve anlaşmalar [X gün] içinde [sistem / iş dosyası] içine aktarılır ve ardından sohbetten silinir.

6. Güvenlik
Tüm cihazlarda ekran kilidi vardır. Kayıp ya da hırsızlık derhal [sorumlu kişi]ye bildirilir.

7. Ek hizmetler
Sohbet içeriklerini işleyen yeni uygulamalar ya da botlar yalnızca [sorumlu kişi] onay verdikten sonra kullanılır.

8. İşten ayrılma
Ayrılırken şirket sohbetleri devredilir, gruplardan çıkılır ve şirket cihazları iade edilir.

Sorular için: [Ad, iletişim]

Okudum ve anladım: ____________________

Bunun senin sektörün için anlamı

• —Ustalar: Müşteri taleplerini WhatsApp Business’ta topla, hasar fotoğraflarını kısa sürede iş dosyasına aktar.
• —Saha ve satış ekipleri: Ziyaret raporlarını sohbette bırakma, CRM’ine aktar.
• —Temizlik şirketleri ve site yönetimi: Mesajla anahtar saklama yeri ya da alarm kodu yok, bina başına grup.
• —Bakım ve muayenehane: En fazla kişiye bağlı olmayan organizasyon. Danışan ve hasta verileri, ülkendeki sağlık sistemi için öngörülen güvenli mesajlaşma çözümlerine ya da bu amaçla tasarlanmış diğer sistemlere aittir.