Sesli ajanlar en çok şu yanlış anlamayla tartışılıyor: “Kayıt tutmuyorsak sorun yok.” Oysa çağrı sırasında üretilen metin dökümü, çağrı meta verisi ve sesin kendisi ayrı ayrı kişisel veri olabilir. Kayıt tutmamak veri işleme yükümlülüğünü ortadan kaldırmaz; yalnızca kanıtınızı azaltır.
Bu yazı KVKK çerçevesinde pratik bir çalışma sırası öneriyor. Hukuki görüş yerine geçmez; ancak uyum ekibinizle yapacağınız ilk toplantıyı kısaltır.
Ses verisi hangi kategoride?
Çağrı kaydı kural olarak kişisel veridir. Konuşmacının kimliğini doğrulamak için sesin fiziksel özelliklerinden şablon çıkarıyorsanız, işlediğiniz veri biyometrik veri olur ve özel nitelikli kişisel verilere yakın, daha sıkı bir rejime girer. Aynı çağrıda sağlık, din, sendika üyeliği veya ceza mahkûmiyeti gibi bilgiler geçtiğinde dosyanın ağırlığı tamamen değişir.
- Ses kaydı: kişisel veridir; saklama sınırı ve erişim kontrolü gerektirir
- Metin dökümü: çağrıda geçen tüm kişisel veriyi taşır
- Ses şablonu veya vektörü: biyometrik veri kapsamına girebilir
- Duygu ve ton analizi: davranışsal veri olarak değerlendirilir
- Çağrı meta verisi: numara, zaman, süre ve yönlendirme kaydı
Bu ayrım tasarımı doğrudan etkiler. Kimlik doğrulama için ses şablonu kullanmak teknik olarak mümkündür; ancak bunu yalnızca biyometrik veri için öngörülen şartlar gerçekten sağlandığında yapın. Çoğu operasyon için tek kullanımlık kod veya bilgi sorusu yeterlidir ve uyum yükünü ciddi biçimde azaltır.
Sınıflandırmayı bir kez yapıp rafa kaldırmayın. Yeni bir entegrasyon, yeni bir analitik aracı veya yeni bir ses modeli veri akışına yeni bir kalem ekler. Her yeni bileşen için şu üç soruyu sorun: bu sistem hangi veriyi görüyor, ne kadar süre tutuyor, kimler erişebiliyor?
Aydınlatma ve açık rıza ayrı adımlardır
Çağrı başında yapılan kısa anons bir aydınlatma adımıdır; kaydın alındığını, amacını ve saklama süresini söyler. Açık rıza bunun yerine geçmez, ayrıca alınır. İkisini tek cümlede birleştirmek hem anlaşılırlığı hem ispat gücünü düşürür.
Aydınlatma bilgilendirir, açık rıza yetki verir. Biri diğerinin yerine geçmez.
Rızanın kaydını da veri olarak saklamanız gerekir: kim, hangi metni, hangi tarihte, hangi kanaldan onayladı? Bu kayıt, ileride yapılacak bir denetimde en çok aranan belgedir. Çağrı ortasında alınan sözlü onayın zaman damgası ve dökümdeki karşılığı ayrıca tutulmalıdır.
Saklama süresi ve silme
- Saklama süresi amaca göre belirlenir, alışkanlığa göre değil
- Süre dolduğunda kayıt otomatik silinir veya anonim hale getirilir
- Silme talebi, yedekler dâhil tüm kopyaları kapsar
- Erişim yetkisi rol bazlıdır ve her erişim loglanır
En sık görülen uyum açığı, saklama süresinin kâğıt üzerinde tanımlı olması ama sistemde uygulanmamasıdır. Süre sonunda silme işini birinin hatırlamasına bırakmayın; iş kuralı olarak kurun ve çalıştığını üç ayda bir test edin.
Anonimleştirme çoğu zaman sanıldığı kadar kolay değildir. Ses dosyasından konuşmacıyı tamamen ayırmak zordur; dökümdeki isim, adres ve numara temizlense bile sesin kendisi kişiyi işaret edebilir. Bu yüzden anonimleştirmeyi silmenin alternatifi olarak değil, ayrı bir uzmanlık işi olarak ele alın.
Yedekler en sık gözden kaçan kalemdir. Canlı sistemden silinen bir kayıt yedekte aylarca kalabilir; silme talebini kapatırken yedek döngüsünü de hesaba katın. Aynı şekilde, çağrı dökümünün kopyalandığı raporlama ve analitik araçları da silme kapsamına girmelidir.
Yurt dışına aktarım ve tedarikçi seçimi
Bulut tabanlı bir ajan kullanıyorsanız ses ve döküm büyük olasılıkla yurt dışındaki bir sunucuda işleniyor. Aktarımın hangi mekanizmayla yapıldığı, hangi verinin hangi ülkede tutulduğu ve alt işleyen listesinin kimlerden oluştuğu sözleşmede açık olmalı.
Tedarikçiye sorulacak üç soru: Veriyi nerede işliyor ve saklıyorsunuz? Saklama süresini biz mi belirliyoruz? Silme talebini kaç günde ve hangi kanıtla kapatıyorsunuz? Bu üç soruya yazılı cevap alamıyorsanız uyum dosyanızda bir boşluk var demektir.
Sözleşmede netleşmesi gereken bir diğer nokta veri ihlali bildirimidir. Bir sızıntı halinde tedarikçinin kaç saat içinde haber vereceği, hangi bilgiyi paylaşacağı ve hangi kanıtı sunacağı yazılı olmalı. Sözlü taahhütler denetim sırasında işe yaramaz.
Özetle: ses verisini tasarımın ilk gününde sınıflandırın, aydınlatma ile rızayı ayrı tutun, saklama süresini politika belgesinde değil sistemde uygulayın ve aktarım zincirini belgeleyin. Bu dört adım hem denetime hem de müşteri sorularına hazır olmanızı sağlar.
