Türkiye'de B2B web sitesi ziyaretçi tanımlama

Türkiye ne AB ne de AEA üyesidir, bu nedenle GDPR orada doğrudan uygulanmaz; bunun yerine Türkiye, 2016'dan bu yana yürürlükte olan ve önceki Avrupa veri koruma hukukuna yakından benzeyen kendi kapsamlı kanunu olan KVKK'ya, yani 6698 sayılı Kişisel Verilerin Korunması Kanunu'na sahiptir. Yapı, GDPR ile çalışmış herkese tanıdık gelecektir: işlemeden önce bir hukuki dayanak gereklidir, ilgili kişilerin erişim ve itiraz hakları vardır ve bir veri işleyen yalnızca veri sorumlusunun belgelenmiş talimatlarına göre hareket eder. KVKK'yı GDPR'ın doğrudan bir çevirisi gibi ele almak, özellikle kayıt yükümlülüğü ve sınır ötesi aktarım koşulları konusundaki gerçek farkları küçümser; bu koşullar, GDPR'ın yeterlilik ve standart sözleşme hükümleri mekanizmalarından farklı olarak kendi Türk usul kurallarını izler. Şirket düzeyinde web sitesi ziyaretçi tanımlaması için Türkiye'deki pratik başlangıç noktası her yerdekiyle aynı sorudur — tanımlanabilir bir bireyin kişisel verisi söz konusu mu — ancak bu sorunun yanıtı, bir Türk hukuki incelemesine dayanabilmesi için GDPR içtihadına değil, özel olarak KVKK terminolojisine ve Kurul kararlarına göre belgelenmelidir.

Uygulama, genellikle KVKK Kurumu olarak anılan Kişisel Verileri Koruma Kurumu ile onun karar organı olan Kurul'a aittir; Kurul bağlayıcı kararlar, yayımlanan rehberler ve uyumsuzluk hâlinde idari para cezaları çıkarır. Kurul'un kararları, GDPR içtihadının ve Avrupa denetim otoritelerinin rehberlerinin başka yerlerdeki pratiği şekillendirmesine benzer bir işlev görür: yeni bir tedarikçiyi değerlendiren bir Türk hukuk veya uyum ekibi, tedarikçinin beyan ettiği pozisyonları, salt kanun metnine değil, meşru menfaat, sınır ötesi aktarım veya kayıt yükümlülüğüne ilişkin somut Kurul kararlarına karşı kontrol eder. Bu alışkanlık, işleme faaliyetinin ilgili bir Kurul kararına nasıl uyduğunu gösterebilen bir tedarikçinin, genel bir uyum beyanı sunmak yerine, Türk incelemesinden daha az takip sorusuyla geçmesini sağlar. Kurul, tedarikçileri veya ürünleri önceden sertifikalandırmaz ve hiçbir rozet veya damga, veri sorumlusunun kendi belgelenmiş değerlendirmesinin yerini tutmaz; lead.box bu değerlendirmeyi bir veri işleme sözleşmesi ve teknik dokümantasyonla destekler, ancak KVKK değerlendirmesini müşteri adına kendisi yapmaz.

KVKK, Veri Sorumluları Sicil Bilgi Sistemi olan VERBİS'i kurar ve Türkiye'de faaliyet gösteren belirli veri sorumlularının bu sicile kaydolarak işledikleri kişisel veri kategorilerini ve işleme amaçlarını genel düzeyde açıklamasını gerektirir. Belirli bir kuruluşun bu yükümlülük kapsamına girip girmediği, Kurul'un belirlediği kriterlere bağlıdır; bunlar arasında çalışan sayısı, yıllık veri işleme hacmi ve özel nitelikli kişisel veri işlenip işlenmediği gibi etkenler yer alır ve bu belirleme sabit tek bir eşik değere göre değil olay bazında yapılır. Bu sayfa bilinçli olarak bir eşik değer belirtmez ve herhangi bir müşterinin kayıt yükümlüsü olup olmadığına dair bir iddiada bulunmaz, çünkü bu değerlendirme veri sorumlusuna aittir ve lead.box'ın bilmediği, veri sorumlusunun kendi kuruluşuna ilişkin gerçeklere bağlıdır. lead.box'ın açıklayabileceği şey işlemenin kendisidir — reklam kimlikleri veya cihaz parmak izi olmaksızın şirket düzeyinde tanımlama — böylece VERBİS değerlendirmesini yapan kişi, belirsiz bir tedarikçi nitelendirmesi yerine bu faaliyete dair doğru ve somut bir açıklamaya sahip olur.

KVKK, GDPR'ın yeterlilik kararlarından ve standart sözleşme hükümlerinden ayrı olarak, kişisel verilerin yurt dışına aktarılmasına ilişkin kendi koşullarını belirler; bu koşullar, Eylül 2024'te yürürlüğe giren bir değişiklikle önemli ölçüde revize edilmiş ve önceki izne dayalı rejimin yerini, GDPR'ın kendi aktarım mekanizmalarına daha yakın olsa da onlardan yine de farklı kalan bir yapı almıştır. Değiştirilen kurallar uyarınca yurt dışına bir aktarım, hedef ülke için bir yeterlilik kararına, Kurul tarafından onaylanmış ve Türk gerekliliklerine uyarlanmış standart sözleşme hükümleri gibi güvencelere veya bağlayıcı şirket kurallarına dayanabilir; kullanılan mekanizmaya bağlı olarak Kurul'a bildirim yükümlülükleri de doğabilir. lead.box, AB ile ilgili verileri ISO sertifikalı AB veri merkezlerinde işler ve bu da söz konusu verileri belirli, belgelenmiş bir konumda tutar; ancak Türkiye'den çıkan belirli bir veri akışının değiştirilen KVKK aktarım kuralları uyarınca sınıflandırılması ve bunun için doğru güvence mekanizmasının seçilmesi, Türk veri sorumlusunun kendi işleme faaliyeti için yapması gereken bir değerlendirme olarak kalır.

KVKK, veri sorumlusunun meşru menfaatine dayanan ve yapısal olarak GDPR'ın 6(1)(f) maddesiyle karşılaştırılabilir bir hukuki dayanak tanır; bu, çoğu Türk kuruluşunun şirket düzeyinde web sitesi ziyaretçi tanımlaması için dayandığı temeldir, çünkü işleme açık bir ticari amaca hizmet eder — hangi kuruluşların bir tedarikçiyi araştırdığını tanımak — ve hiçbir birey gerçekte tanımlanmadığı için hiçbir bireye orantısız bir yük getirmez. Komşu pazarlardaki GDPR temelli çerçevelerde olduğu gibi, bu dayanağa güvenmenin varsayılmak yerine belgelenmesi beklenir: amacı, ilgili veri kategorilerini ve menfaatin neden bir bireyin haklarınca geçersiz kılınmadığını açıklayan kısa yazılı bir not, bir Türk uyum incelemecisinin veya bir denetim durumunda Kurul'un kendisinin görmeyi bekleyeceği türden bir kayıttır. Buradaki tanımlama bir birey yerine bir şirketi çözdüğü için bu değerlendirme görece basittir, ancak belgeleme adımını atlayıp yalnızca bir tedarikçinin genel güvencesine dayanmak, Türk satın alma incelemelerinde en sık takip sorusuna yol açan boşluktur.

lead.box, anonim bir web sitesi ziyaretini, esas olarak bir ticari bağlantıyla ilişkili IP adres aralığı gibi ağ düzeyindeki sinyalleri kullanarak ve bunu güncel tutulan bir şirket-ağ eşleme veritabanıyla karşılaştırarak, ziyaret eden kuruluşun adına çözümler; bu süreçte hiçbir çerez, cihaz parmak izi, reklam kimliği veya siteler arası profil oluşturulmaz ya da saklanmaz ve bir ziyaretin arkasındaki bireysel çalışan tanımlanmaya çalışılmaz. Müşteriye sunulan çıktı, şirket adı, yaklaşık bir konum ve ziyaret sırasında görüntülenen sayfalarla sınırlıdır; bir kişinin adı, unvanı veya iletişim bilgileri değildir — bu ayrım, KVKK terminolojisi kapsamında bu işleme faaliyetini bireysel düzey yerine şirket düzeyinde tutan şeydir. Ziyaretlerin önemli bir kısmı, özellikle bireysel veya mobil bağlantılardan gelenler ve kendine ait bir ticari IP aralığı olmayan kuruluşlardan gelenler, hiçbir şirkete çözümlenemez ve lead.box bu ziyaretler için bir tahmin veya varsayımla boşluğu doldurmaz; çözümlenemeyen trafik bir eşleşme gibi sunulmak yerine yalnızca tanımlanmamış bırakılır.

Türk ihracatçıları ve üreticileri genellikle büyük bir gelen talep hunisi yerine, belirli adı konmuş uluslararası hesapları takip eden kompakt bir ticari ekip yürütür; CRM disiplini ise yapılandırılmış Salesforce veya HubSpot kurulumlarından, satış ofisinin kendisinin tuttuğu daha hafif elektronik tablo takibine kadar değişir. lead.box, bu tür manuel incelemeler için tanımlanan şirketleri CSV veya Excel dosyaları olarak dışa aktarır veya eşleşmeleri webhook ile bir ekibin zaten kullandığı CRM'e aktarır; böylece tanımlama katmanı, işletmenin yeni bir platform benimsemesini gerektirmek yerine mevcut alışkanlıklara oturur. İhracat hesaplarını ağırlıklı olarak telefon, e-posta ve yüz yüze ziyaretlerle yürüten ekipler için, hangi uluslararası şirketlerin hangi ürün veya teknik sayfaları görüntülediğini gösteren basit bir haftalık dışa aktarım, özellikle karşı taraftaki alım komitesi doğrudan iletişime geçmeden önce tedarikçileri değerlendiren yabancı bir mühendislik veya satın alma ekibi olduğunda, canlı bir gösterge panelinden çoğu zaman daha kullanılabilirdir.

Başlamak için siteye tek bir JavaScript kod parçacığı eklemek yeterlidir; bunun ardından tanımlanan şirketler genellikle trafiğin ilk günlerinde görünmeye başlar, sözleşme süresine bağlı bir bekleme dönemi veya bir kod ya da etiket yöneticisi düzenlemesinin ötesinde bir barındırma sağlayıcısının katılımı olmadan. Doğruluk, ürünün çalıştığı her yerde geçerli olan aynı temel kısıtlamayı izler: tanımlama, bir ziyaretin belirli bir kuruluşla eşleştirilebilecek bir ağ aralığından gelmesine bağlıdır ve mobil ağlardan, ev bağlantılarından veya paylaşılan altyapıdan gelen trafik sıklıkla adı belirlenmiş bir şirkete çözümlenemez; bu sınırlama küçümsenmeden açıkça belirtilir. Ekipler istedikleri zaman meslektaşlarını ek kullanıcı olarak ekleyebilir, listeleri CSV, Excel veya JSON olarak dışa aktarabilir ve nitelikli şirketleri manuel yeniden girişe gerek kalmadan bir CRM'e aktarmak için bir webhook bağlayabilir; araç faydalı olduğunu kanıtlamazsa, iptal işlemi bir bildirim süresi veya bir elde tutma görüşmesi yerine hesap ayarlarındaki kendi kendine hizmet seçeneği üzerinden yapılır — bu da birçok Türk ihracatçısının yeni bir yazılımı büyütmeden önce denemeyi tercih ettiği daha düşük taahhütlü yaklaşıma uyar.