Ekipler için WhatsApp uyumluluğu: LGPD, GDPR ve sohbetleri asıl kim saklıyor

WhatsApp uyumluluğu, WhatsApp konuşmalarınızdaki kişisel verileri size uygulanan gizlilik yasalarına uygun şekilde ele almak anlamına gelir; çoğu okuyucu için bu Brezilya'nın LGPD'si, Avrupa'daki insanlara hizmet veriyorsanız da GDPR'dır. Pratikte bu kısa bir listeye iner: birine mesaj göndermeden önce rıza toplayın, insanlara veri hakları tanıyın, verileri yalnızca ihtiyacınız olduğu sürece saklayın ve ekibinizde kimin görebileceğini kontrol edin. Bu, sade dille yazılmış bir operasyon rehberidir, hukuki tavsiye değildir; dolayısıyla gerçek bir yükümlülük söz konusu olduğunda kendi yetki alanınızdaki nitelikli bir uzmanla konuşun.

Dikkat edin, bunların hiçbiri WhatsApp'ın kendisiyle ilgili değil. Sizin sürecinizle ilgili. Bir WhatsApp Business uyumluluk incelemesi, "uygulama yasal mı" olmaktan çok "kimin iletişime geçilmeyi kabul ettiğini, verilerini kimin işlediğini ve istenmesi halinde bunları nasıl sileceğimizi gösterebilir miyiz" ile ilgilidir. Çoğu ekibin sahip olduğu boşluk budur ve bu hukuki bir boşluk olmadan önce bir operasyon boşluğudur.

Aynı şey kanaldaki genel yasal uyumluluk için de geçerli. Yasa, mesajın kişisel bir telefondan mı yoksa paylaşımlı bir gelen kutusundan mı gittiğini umursamaz. Onu göndermek için bir dayanağınızın olup olmadığını ve sonrasında verinin hesabını verip veremeyeceğinizi umursar.

WhatsApp'ın kendisi sizin adınıza "LGPD uyumlu" değildir, çünkü LGPD kapsamında sorumluluk mesajlaşma uygulamasında değil, veri denetleyicisi olarak işletmenizdedir. Lei Geral de Proteção de Dados, kişisel verilerin neden ve nasıl işleneceğine karar veren şirketi sorumlu taraf olarak kabul eder ve Brezilya'nın veri koruma otoritesi olan ANPD, bunu uygulayan ve yaptırım uygulayabilen kurumdur.

Bir WhatsApp LGPD kurulumu için günlük olarak üç şey önemlidir. Birincisi, verileri işlemek için yasal bir dayanak: pazarlama ve çoğu erişim için bu genellikle rıza anlamına gelirken, bir siparişi ele alan mevcut bir müşteri başka dayanaklara yaslanabilir, dolayısıyla hangisine dayandığınızı bilmelisiniz. İkincisi, veri sahibi hakları: insanlar verilerini görmeyi, düzeltmeyi, silmeyi veya başka bir yere taşımayı isteyebilir ve bu talepleri yerine getirebilmeniz gerekir; bu da konuşmalar beş farklı telefonda duruyorsa zordur. Üçüncüsü, atanmış bir sorumlu: küçük bir ekipte bile, WhatsApp verilerinin nasıl ele alındığından işletmede birinin hesap verebilir olması gerekir.

"lgpd whatsapp" ifadesi İngilizce'de çok az sonuç döndürür ki boşluk da tam olarak budur. Brezilyalı ekipler ve Brezilya'ya açılan yabancı ekipler, kendileri için sade bir dille yazılmış neredeyse hiçbir rehber olmadan her gün WhatsApp üzerinden gerçek müşteri verilerini işliyor.

Avrupa Birliği'ndeki insanları hedefliyor veya onlara hizmet veriyorsanız, şirketiniz Brezilya'da ya da başka bir yerde bulunsa bile GDPR size uygulanır. Yönetmelik, AB'deki insanlara ait verileri işledikleri sürece her yerdeki kuruluşlara uygulanır ve dünyanın en büyük gizlilik cezalarından bazılarını içerir.

WhatsApp GDPR uyumluluğu için yükümlülükler LGPD ile örtüşür: yasal bir dayanağa, çoğu zaman rızaya ihtiyacınız vardır ve erişim, silme ve veri taşınabilirliği dahil olmak üzere aynı hak ailesine saygı göstermeniz gerekir. LGPD için temiz bir rıza ve erişim süreci kuran bir ekip, GDPR için işin çoğunu zaten yapmıştır. İki ayrı makine işletmiyorsunuz, bir makine işletip onu iki yasaya yöneltiyorsunuz.

Küçük ekipler için pratik risk, yarın kapıyı çalan bir düzenleyici değildir. Kayıtlar dağınık olduğu için yanıtlayamadığınız tek bir veri sahibi talebi ya da birinin kabul ettiğini kanıtlayamadığınız bir pazarlama gönderisidir.

Küçük ekiplerde gördüğümüz en yaygın uyumluluk hatasının evrak işleriyle hiçbir ilgisi yok. Kişisel telefonlara yayılmış WhatsApp Business uygulamasıdır. Bir süre işe yarar, sonra durur ve arıza biçimleri tam olarak yasanın umursadıklarıdır.

Erişim kontrol edilemez. Telefonu elinde tutan herkes, belirli verileri görmemesi gereken temsilciler de dahil olmak üzere her müşteri konuşmasını okuyabilir ve erişimi temiz bir şekilde verme veya iptal etme yolu ile kimin neyi gördüğüne dair bir denetim izi yoktur.

Geçmiş kişiyle birlikte gider. Bir temsilci işten ayrıldığında, sohbetler, kişiler ve rıza kayıtları onun kişisel cihazında kapıdan çıkıp gidebilir. Bu, numara sahipliği sorunudur ve aynı zamanda bir veri koruma sorunudur, çünkü artık elinizde tutmadığınız veriler için bir silme veya erişim talebini yerine getiremezsiniz.

Kayıtlar dışa aktarılamaz. Bir müşteri verilerini isterse ya da onları silmenizi isterse, bir kişinin telefonunda gezinip duruyorsunuz ve bu, arkasında durabileceğiniz bir süreç değildir.

Paylaşımlı bir WhatsApp çalışma alanı sizi tek başına LGPD veya GDPR uyumlu yapmaz ve hiçbir araç da yapamaz. Yaptığı şey, kişisel telefonlarda uyumluluğu imkansız kılan operasyonel boşlukları kapatmaktır. Uyumluluk hâlâ sizin sorumluluğunuzdadır; çalışma alanı size yalnızca bunun üzerine harekete geçme denetimlerini verir.

Ürün ayrıntılarının önem kazandığı yer burasıdır. Clapvo, bir ekibe rol tabanlı izinler verir, böylece herkesin tam erişimli bir telefon tutması yerine kimin neyi görebileceğine ve yapabileceğine siz karar verirsiniz. Konuşmaları, bağlantı başına özel bir sunucuyla tek bir tarayıcı tabanlı çalışma alanında tutar, böylece veriler birinin kişisel sohbet yedeğinde durmaz. Ve etiketler, alanlar, içe aktarma ve dışa aktarma ile kişi yönetimi içerir ki bu da bir kişi verilerini görmek veya taşımak istediğinde gerçekten ihtiyaç duyduğunuz şeydir.

İki dürüst sınır. Clapvo bir Meta veya WhatsApp iş ortağı değildir ve sizin adınıza herhangi bir uyumluluk sertifikası taşımaz. Ve sizin gizlilik politikanızı yazmaz veya yasal dayanağınıza sizin yerinize karar vermez. Değiştirdiği şey, sohbetlerin bir cihaza değil çalışma alanına ait olmasıdır ki bu, uyumluluk listesindeki neredeyse her şey için ön koşuldur. Clapvo'nun verileri nasıl ele aldığını kendi gizlilik politikasında görebilirsiniz.

Rıza, WhatsApp uyumluluğunun en az esnekliğe sahip kısmıdır, çünkü WhatsApp bunu yasanın gerektirdiğinin üzerine ister. WhatsApp'ın işletme kuralları, yalnızca size numarasını veren ve sizden haber almak istediklerini onaylayan opt-in izni sağlayan kişilerle iletişime geçebileceğinizi ve opt-out taleplerine saygı göstermeniz gerektiğini söyler.

Bu, LGPD ve GDPR rızasıyla düzgünce örtüşür ki bu da uygundur, çünkü bunu bir kez yapıp hem platformu hem de yasayı karşılayabilirsiniz. Birkaç uygulama iyi durur: her kişinin yalnızca opt-in verdiğini değil, nasıl ve ne zaman verdiğini kaydedin, mümkün olan yerlerde mesaj türüne göre rıza isteyin ki pazarlama rızası ile işlemsel güncellemeler bir araya getirilmesin ve opt-out'u kolaylaştırın ve buna hızlıca harekete geçin.

Rıza aynı zamanda zamanlamayla da etkileşir. WhatsApp, birinin son yanıtından sonra ona ne zaman serbestçe mesaj gönderebileceğinizi sınırlar; bu yüzden opt-in kuralları ve 24 saatlik pencere hem teslim edilebilirlik hem de uyumluluk için önemlidir. Bu kuralların dışında göndermek, ekiplerin şikayet edilme biçimidir ki bu hem bir politika hem de bir güven sorunudur.

WhatsApp mesaj verisi gizliliği aktarım sırasında güçlüdür ve veriler araçlarınıza indiğinde daha zayıftır; fark ise sizin sorumluluğunuzun devreye girdiği yerdir. Kişisel WhatsApp mesajları uçtan uca şifrelidir ve WhatsApp, hiç kimsenin kişisel mesajlarınızı aktarım sırasında okuyamayacağını, WhatsApp'ın bile okuyamayacağını söyler.

İşletmeler için asıl mesele, bir mesaj size ulaştıktan sonra ne olduğudur. Müşteri konuşmalarını bir işletme gelen kutusu veya WhatsApp Cloud API üzerinden yürüttüğünüzde, bu mesajlar ekibinizin üzerinde çalışabilmesi için o sistemde işlenir ve saklanır. Saklanan bu kopya, LGPD ve GDPR kapsamında korumaktan sorumlu olduğunuz veridir. Aktarım sırasında şifreleme gerçek ve yararlıdır ve konuşma geçmişine erişimi kontrol etme, saklamayı sınırlama ve talep üzerine veriyi silebilme görevinizi ortadan kaldırmaz.

Yani bir işletme için WhatsApp veri gizliliği bir değil, iki sorudur. Mesaj size gelirken korunuyor mu, ki bu büyük ölçüde halledilmiştir, ve mesaj çalışma alanınızda dururken korunuyor mu, ki bu size aittir.

Bir uyumluluk departmanına ihtiyacınız yok. Bir paragrafta anlatabileceğiniz ve gerçekten uygulayabileceğiniz bir sürece ihtiyacınız var. Size hangi yasanın uygulandığını, LGPD, GDPR veya her ikisini de ve ekipte WhatsApp verilerinden kimin sorumlu olduğunu yazarak başlayın. Yöntem ve tarih dahil olmak üzere her kişi için rızayı ve opt-in'i kaydedin. Müşteri sohbetlerini kişisel telefonlardan çıkarıp erişimin kontrol edildiği ve geçmişin şirkette kaldığı bir çalışma alanına taşıyın. Savunabileceğiniz bir saklama süresi belirleyin ve talep üzerine bir kişinin verilerini nasıl sileceğinizi veya dışa aktaracağınızı bilin. Gizlilik politikanızı WhatsApp verilerinin nasıl ele alındığı konusunda güncel ve dürüst tutun. Ve bir talebi hızlıca yanıtlayabilmek için yanıtı ve sorumluluğu takip edin; bu, bir destek yanıt süresi rehberinde ele alınan aynı disiplindir.

Bu adımların hiçbiri başlamak için bir avukat gerektirmez, gerçek bir yükümlülük gerektirebilse de. Sizi "telefonlara dağılmış müşteri verilerimiz var ve en iyisini umuyoruz" noktasından "neyi elimizde tuttuğumuzu, neden tuttuğumuzu ve bir talep üzerine nasıl hareket edeceğimizi biliyoruz" noktasına taşırlar. Küçük bir ekip için, WhatsApp uyumluluğunun gerçekte istediği şeyin çoğu budur.