iGaming CRM'de Veri Uyumu: KVKK, GDPR ve Operatör Sorumluluğu

Bu yazı hukuki tavsiye değildir

Aşağıdakiler bir CRM seçerken sorulması gereken sorulardır; operasyonunuzun tabi olduğu düzenlemeye (KVKK, GDPR veya başka bir çerçeve) göre nihai değerlendirme kendi hukuk danışmanınıza aittir. Amaç, teknoloji tarafında hangi soruların cevaplanmış olması gerektiğini netleştirmektir.

Neden CRM seçimi bir uyum kararıdır

Operatör, oyuncunun kimlik, ödeme ve davranış verisini işleyen taraftır — bu sorumluluk CRM sağlayıcısına devredilmez. Ama CRM'in nasıl kurulduğu, o sorumluluğu yerine getirmenizi kolaylaştırır ya da zorlaştırır. Yanlış kurulmuş bir sistemde "hangi veri nerede, kim erişebiliyor, ne zaman silinecek" sorularının cevabı yoktur.

Sorulması gereken altı soru

1. Veri nerede saklanıyor, kim işliyor?

Alt işleyenlerin (sub-processor) listesi net olmalı: hangi bulut sağlayıcı, hangi bölge, hangi üçüncü taraf servis (SMS, e-posta, ödeme köprüsü) veriye dokunuyor. Bu liste değiştiğinde bildirim yapılmalı.

2. Erişim kim tarafından, hangi kural altında yapılıyor?

Rol bazlı erişim kontrolü (RBAC) olmadan "kim baktı" sorusuna cevap verilemez. Hassas alanların (kimlik numarası, ödeme detayı) kimler tarafından görülebildiği tanımlı olmalı, denetlenebilir olmalı.

3. Veri ne kadar süre saklanıyor?

Saklama süresi sonsuz olmamalı. Hesap kapatıldıktan, ilişki sona erdikten sonra hangi verinin ne kadar süre tutulacağı, hangi verinin anonimleştirileceği net olmalı.

4. Aktarım şifreli mi?

Veri aktarımda (transit) ve depoda (at rest) şifreleme standart olmalı. Bu, "var mı yok mu" sorusundan öte, hangi standart kullanıldığının belgelenebilir olmasıdır.

5. Silme talebi nasıl işleniyor?

Oyuncu veya operatör bir silme talebinde bulunduğunda, sürecin ne kadar sürdüğü ve hangi istisnaların (yasal saklama yükümlülüğü gibi) uygulandığı net olmalı.

6. İhlal durumunda bildirim süreci ne?

Bir veri ihlali olduğunda kimin, ne kadar sürede, hangi kanaldan bilgilendirileceği sözleşmede tanımlı olmalı. Bu netlik olmadan olay anında koordinasyon kaybı yaşanır.

Uluslararası veri aktarımı sorusu

Operasyon birden fazla lisans bölgesinde faaliyet gösteriyorsa, verinin hangi ülkede işlendiği ayrı bir soru haline gelir. Bulut altyapısının bölgesi, alt işleyenlerin merkezi ve oyuncunun bulunduğu yargı alanı üçü de sözleşmede netleştirilmelidir; bu üçünün örtüşmediği durumlarda hangi çerçevenin (KVKK, GDPR, yerel düzenleme) geçerli olduğu tek başına teknoloji seçimiyle çözülmez, hukuki değerlendirme gerektirir.

CoCrm.ai'de veri güvenliği yaklaşımı

• Roller ve yetkiler panelden tanımlanır; hassas alanlar rol bazlı sınırlandırılabilir
• Kiracı izolasyonu — her operatörün verisi ayrı tutulur
• Aktarımda şifreleme standarttır
• İşleme koşulları bir DPA (Veri İşleme Sözleşmesi) ile düzenlenir
• Denetim kayıtları tutulur

Tam kapsamı Veri Güvenliği sayfasında yer alır; işleme koşullarının detayı Gizlilik Politikası içinde açıklanır.

Veri Güvenliği sayfasını inceleyin →

Gizlilik Politikasını okuyun →