Beşinci bölümde asistanın yanıtladıkları ile bir çalışanın üstlendikleri arasındaki çizgiyi çizdik ve konuşmanın tamamını taşıyan bir devir şartı koyduk. Şimdiye kadar kurduğumuz her şey tek bir şeye dayanıyor: müşteri konuşmalarınızın kaydı. Ve bu kayıt operasyonel bir dosya değil, kanunla düzenlenen kişisel veridir.

Bu bölüm ne korkutmak için yazıldı ne de bir kanun metni okuması. Küçük ya da orta ölçekli bir işletmenin ihtiyaç duyduklarının çoğu, lansmandan önce bir kez alınan, bir danışmana değil bir saatlik toplantıya mal olan basit yönetim kararlarına indirgenir. Bunları lansmandan sonra almak kat kat pahalıya gelir.

Bir WhatsApp konuşması kişisel veridir ve bundan siz sorumlusunuz

Krallığın Kişisel Verilerin Korunması Kanunu (PDPL) 14 Eylül 2023'ten beri yürürlükte, uyum için tanınan geçiş süresi 14 Eylül 2024'te sona erdi ve denetim otoritesi Suudi Veri ve Yapay Zekâ Otoritesi (SDAIA). Kapsamı pek çok işletme sahibinin sandığından daha geniştir: Krallık içindeki kişilerin verilerinin herhangi bir yolla işlenmesini kapsar ve Krallık içindeki kişilerin verilerini işleyen Krallık dışındaki kuruluşlara da uzanır.

Bir müşteri kurulum randevusu almak için adını, numarasını ve ev adresini gönderdiğinde, bu kanuna göre kişisel veridir, geçici bir sohbet değil. Çoğu kişinin gözden kaçırdığı şey ise bir konuşmanın gerçekte ne kadar şey barındırdığıdır: adlar ve numaralar, müşterilerin istenmeden gönderdiği kimlik ya da oturma izni fotoğrafları, ev adresleri, belge ve fatura görüntüleri ve bazen bir şikâyetin içinde geçerken söylenen sağlık ya da finans bilgileri. Bir yapay zekâ asistanı bu verileri yaratmaz, ancak onları bir çalışanın telefonunda kaybolmak yerine saklanan, dizinlenen ve aranabilen hâle getirir. Bu başlı başına operasyonel bir iyileştirmedir ve sorumluluğunuzu da artırır.

Hukuki dayanak ve müşteriyi bilgilendirme

Kişisel verileri meşru bir neden olmadan işlemezsiniz. Çoğu şirket için dayanak basittir: müşteri konuşmayı bir hizmet talep ederek kendisi başlatmıştır ve istediğini sunmak verilerinin işlenmesini gerektirir. Bu, sorusunu yanıtlamak ve siparişini hazırlamak için sağlam bir dayanaktır. İstemediği hiçbir şeye kendiliğinden uzanmaz.

Pratik ayrım üzerinde durmaya değer. Bir müşterinin sorusunu yanıtlamak bir şeydir; bir ay sonra numarasını toplu bir pazarlama gönderimine eklemek bambaşka bir şeydir. Birincisi talep ettiğini sunar; ikincisi açık rızasını gerektiren yeni bir amaçtır. Bu, piyasada gördüğümüz en yaygın ihlaldir, tam da bedava ve zararsız göründüğü için.

Bildirime gelince, düşündüğünüzden daha azı gerekir: konuşmanın başında kısa bir satır ya da asistanın bağlantı verdiği, sitenizde yer alan bir gizlilik politikası; kim olduğunuzu, veriyi neden topladığınızı, ne kadar sakladığınızı, kimlerle paylaştığınızı ve müşterinin haklarını nasıl kullanacağını söyleyen. Bunu sözleşme diliyle değil, müşterinizin anlayacağı bir dille yazın.

En azını toplayın, amacına ulaşanı silin

Tüm kanundaki uygulaması en kolay kural: hiç toplamadığınız veri sizden sızamaz ve sizden talep edilemez. Kontrol orada, asistanın kendi sorularının nasıl yazıldığında başlar.

  • Yalnızca hizmetin gerektirdiğini isteyin. Bir randevu için ad, numara ve semt yetiyorsa, sırf eski kâğıt formunuzda o alan var diye asistana kimlik numarası ya da doğum tarihi sordurmayın.
  • Hassas belgeleri sohbette engelleyin. Kimlik fotoğrafları ve banka kartları WhatsApp üzerinden istenmez. Bunları dördüncü bölümde oluşturduğumuz ret listesine ekleyin ve gerçekten gerekiyorsa müşteriyi uygun bir kanala yönlendirin.
  • Yazılı bir saklama süresi belirleyin. Her tür için bir tane seçin: hiçbir zaman siparişe dönüşmeyen soru konuşmaları ve muhasebe ile düzenleyici amaçlarla kayıtlarını saklamanız gereken tamamlanmış siparişler. Önemli olan sürenin yazılı olması ve uygulanmasıdır, sonsuza kadar açık bırakılması değil.
  • Silmeyi bir niyet değil, bir prosedür hâline getirin. Arkasında bir mekanizma olmayan saklama süresi, başka bir adla kalıcı bir arşivdir. Sağlayıcınıza bir konuşmayı ya da bir müşteriyi tamamen nasıl sileceğinizi ve bunun yedeklerinden gerçekte ne zaman kaybolacağını sorun.

Ekibinizde konuşmaları kim görebilir?

Müşteri verileriniz için en büyük pratik risk dışarıdan bir ihlal değil, sınırsız iç erişimdir. Konuşmalar bir çalışanın kişisel telefonunda durduğunda, istifa ettiği gün onunla birlikte şirketten çıkar ve elinizde ne bir kopya ne de herhangi bir kontrol kalır. Konuşmaları merkezi bir sisteme taşımak bunu çözer; yeter ki kimin neyi gördüğünü siz kontrol edin.

Üç yönetim kararı yeterlidir: her çalışan hepsini değil, kendisine atanan ya da işiyle ilgili konuşmaları görür; kimin neyi görüntülediğini bilmeniz için her kullanıcının, ekipte elden ele dolaşan ortak bir giriş yerine kendi adına bir hesabı olur; ve erişim, iş ilişkisinin sona erdiği gün kaldırılır, haftalar sonra değil. İş sözleşmelerinize ve prosedürlerinize müşteri verilerinin dışa aktarılmasını ya da sistemden çıkarılmasını yasaklayan bir madde ekleyin.

Konuşmalar Krallık dışına çıktığında

İşletme sahiplerinin tamamen kaçırdığı kısım budur, çünkü görünmezdir. Bir yapay zekâ asistanı bir dil modeli üzerinde çalışır ve bu model Krallık dışında barındırılıyor olabilir; bu da müşterinizin konuşma metninin yanıt üretilmesi için sınırı geçebileceği anlamına gelir.

Kişisel verilerin Krallık dışına aktarılması kanunla tanımlı durumlar ve kontrollerle sınırlandırılmıştır ve sağlayıcının takdirine bırakılmamıştır. Hukuk uzmanı olmanıza gerek yok; herhangi bir sağlayıcıya üç yazılı soru sormanız ve yanıtları belgelenmiş olarak saklamanız gerekir:

  • Müşteri konuşmalarım nerede saklanıyor ve nerede işleniyor? Veriler herhangi bir aşamada Krallık dışına çıkıyor mu?
  • Çıkıyorsa, aktarım için hangi dayanağa ve hangi kontrollere güveniyorsunuz?
  • Müşterilerimin konuşmalarını modellerinizi eğitmek ya da kendinize ait herhangi bir amaç için kullanıyor musunuz?

Üçüncü soru ticari açıdan en önemlisi ve en az sorulanıdır. Müşteri verileriniz size aittir; bir sağlayıcının hizmet sunmak için bunları tutması, onları başka bir amaçla kullanma izni değildir. Yasağı bağlama bırakmak yerine sözleşmede açıkça yazın.

Müşterinin hakları ve sizin sorumluluğunuzun bitip sağlayıcınızınkinin başladığı yer

Kanun ilgili kişiye açık haklar tanır: verilerinin toplandığından ve nedeninden haberdar edilmek, verilerine erişmek ve bir kopyasını almak, düzeltilmesini istemek ve amacı ortadan kalktığında imha edilmesini istemek. Bunlar teorik metinler değil, bir gün aynı WhatsApp konuşmasında gelebilecek taleplerdir; bu yüzden ekibinizin böyle bir talep geldiğinde ne yapacağını bilmesi, sisteminizin de zahmetli bir manuel süreç yerine bunu yerine getiren bir düğmeye sahip olması gerekir.

Geriye sağlayıcılarla yaşanan tartışmaların çoğunu çözen nokta kalıyor: işlemenin amacını ve yöntemini siz belirlediğiniz için veri sorumlusu sizsiniz; yapay zekâ asistanı sağlayıcısı ise sizin adınıza hareket eden bir veri işleyendir. Hata teknik olsa ve sağlayıcınızda olsa bile müşterinize karşı hukuki sorumluluk sizde kalır. Bu nedenle, sağlayıcının verilerinizle neler yapıp neler yapamayacağını belirleyen, herhangi bir ihlali size gecikmeden bildirmesini zorunlu kılan ve ilişkinin bittiği gün verilerinize ne olacağını tanımlayan yazılı bir sözleşmede ısrar edin: eksiksiz iade edilmesi, ardından onun tarafında imha edilmesi.

Origami'nin bakışı

Origami'nin WhatsApp için yapay zekâ asistanı Mahir'de asistan, şirketinizin mevcut numarası üzerinde, yeni bir numara olmadan ve çalışanın telefonuna ek bir uygulama kurmadan çalışır; bağlantı tek seferlik bir QR taramasıdır. Böylece müşteri konuşmalarınız, sahipleriyle birlikte giden kişisel cihazlara dağılmak yerine bir şirket sisteminde kalır. Eğitim, sitenizi okuyup bilgilerinizi doldurması için ona sitenizin bağlantısını vermekle başlar; ardından hizmetleri, fiyatları ve sizin onayladığınız yanıtlarla sık sorulan soruları eklersiniz. Arasında seçim yaptığınız iki kademesi vardır: hızlı, tekrar eden doğrudan sorular için Malik ve uzun konuşmalar, birleşik talepler ve itirazlar için Mahir; yeniden bağlantı kurmadan ve eğitim kaybetmeden istediğiniz zaman geçiş yapabilirsiniz ve deneme ücretsizdir. Bu bölümde depolama yeri, Krallık dışına aktarımlar ve verilerin eğitim için kullanılması hakkındaki altı soruya gelince: bunları, biz de dâhil olmak üzere değerlendirdiğiniz her sağlayıcıya yazılı olarak sorun ve yanıtı sözleşmeye koyun.

Sonuç

Sizden istenen, sizi korkutandan daha azdır: açık bir hukuki dayanak, kısa ve anlaşılır bir bildirim, ihtiyacınız olan en azın toplanması, ardından gerçek silmenin geldiği yazılı bir saklama süresi, ekibiniz içinde kontrollü erişim, verilerin nerede durduğu, nasıl taşındığı ve nasıl kullanıldığı konusunda belgelenmiş yanıtlar ve her tarafın rolünü bildiği, sağlayıcınızla yapılmış yazılı bir sözleşme. Bu kararları lansmandan önce alın; sonradan düzeltmekten çok daha kolaydır. Geriye işletme sahibinin son sorusu kalıyor: tüm bunlar ne kazandırır ve tek bir haftada nasıl hayata geçirilir? Bu yedinci bölümün konusu ve serinin sonu.

Kaynaklar

  • Suudi Veri ve Yapay Zekâ Otoritesi (SDAIA): Kişisel Verilerin Korunması Kanunu ve Uygulama Yönetmeliği: kapsam, işlemenin hukuki dayanağı, ilgili kişinin hakları ve veri sorumlularıyla veri işleyenlerin yükümlülükleri.
  • SDAIA: Kişisel Verilerin Krallık Dışına Aktarılmasına İlişkin Yönetmelik ve buna bağlı kontroller.
  • SDAIA: Otoritenin platformlarında veri sorumluları için yayımlanan uyum rehberleri ve araçları.
  • Suudi Vizyon 2030: dijital ekonomi ve dijital işlemlerde tüketici güveninin inşası.