B2B pazarlamanın en heyecan verici anı, ideal müşteri profilinize uyan bir karar vericinin web sitenizdeki formu doldurup “Gönder” butonuna bastığı andır. Ancak dijital ayak izlerinin giderek daha sıkı denetlendiği bir çağda, formunuzun ne kadar iyi dönüştürdüğü kadar, o veriyi ne kadar KVKK uyumlu topladığınız da hayati önem taşır.
Pek çok B2B şirketi, “Biz sadece şirket e-postası (isim.soyisim@sirket.com) topluyoruz, bu yüzden KVKK bizi ilgilendirmez” yanılgısına düşer. Oysa gerçek bir kişinin tanımlanabildiği her kurumsal e-posta adresi ve telefon numarası, kişisel veri niteliği taşır.
Veriye dayalı ve B2B lead generation stratejinizi büyütürken yasal riskleri sıfıra indirmek istiyorsanız, teknik ve hukuki sınırları iyi bilmeniz gerekir. Bu rehberde, Türkiye’deki şirketlerin KVKK uyumlu pazarlama süreçlerinde en sık yaptığı 7 kritik hatayı ve bu hataların pratik çözümlerini inceleyeceğiz.
Hata 1: Aydınlatma Metni Eksikliği veya Görünmezliği
Ziyaretçilerden ad, soyad veya e-posta gibi veriler talep ettiğiniz her noktada (iletişim formu, e-kitap indirme sayfası, webinar kayıt ekranı), Kanun’un 10. maddesi gereğince onları “aydınlatmak” zorundasınız. En sık yapılan hata, aydınlatma metninin formda hiç bulunmaması veya sitenin en altındaki “Gizlilik Politikası” linkinin içine gizlenmesidir. Ziyaretçi verisini girmeden önce, verisinin kim tarafından, hangi amaçla ve ne kadar süreyle işleneceğini bilmelidir.
✔️ Doğrusu Şu: Formun “Gönder” butonunun hemen üstüne veya yanına, okunabilir bir puntoyla “Kişisel verileriniz, [Aydınlatma Metni] kapsamında işlenmektedir” yazın ve bu metni tıklanabilir bir pop-up veya ayrı bir sekme olarak bağlayın. Aydınlatma yükümlülüğü onaya tabi değildir, sadece bilgi vermektir; bu yüzden önüne işaretlenmesi zorunlu bir “okudum/anladım” kutucuğu koymanıza gerek yoktur.
Hata 2: Açık Rıza ve Hizmet Şartı Karmaşası (Hizmet Şartına Bağlama)
KVKK açık rıza pazarlama kurgularında şirketlerin düştüğü en büyük tuzak, veri sahibinin rızasını “özgür iradeyle” verilmekten çıkarmaktır. Örneğin, kullanıcıya bedava bir e-kitap sunuyorsunuz ancak e-kitabı indirebilmesi için “Tarafıma pazarlama ve kampanya e-postaları gönderilmesini kabul ediyorum” kutucuğunu işaretlemesini zorunlu kılıyorsunuz. KVKK buna “açık rızanın hizmetin ifasına şart koşulması” der ve bu rızayı geçersiz sayar.
✔️ Doğrusu Şu: Ziyaretçi e-kitabı indirebilmek veya temel hizmeti alabilmek için ticari ileti izni vermek zorunda olmamalıdır. Pazarlama izin kutucuğu formda yer almalı, ancak işaretlenmesi zorunlu (required) olmamalıdır. Kutuyu işaretlemeyen kişi e-kitabı indirebilmeli, ancak bülteninize eklenmemelidir.
Hata 3: Satın Alınmış veya “Kazınmış” (Scraped) Listeler Kullanmak
B2B pazarlamada hızlı sonuç almak isteyen ekipler, sektör listeleri satın alır veya veri kazıma (scraping) araçlarıyla LinkedIn gibi platformlardan e-posta toplarlar. Bu verileri CRM’e yükleyip soğuk e-posta (cold email) atmak, hem İYS (İleti Yönetim Sistemi) hem de KVKK açısından çifte ihlaldir. Bir verinin internette “herkese açık” (alenileştirilmiş) olması, size o veriyi alıp kendi pazarlama veritabanınıza kaydetme ve ticari mesaj gönderme hakkı vermez.
✔️ Doğrusu Şu: KVKK uyumlu lead generation ancak inbound yöntemlerle (kişinin kendi isteğiyle form doldurması) veya yasal çerçevede yürütülen organik outbound temaslarıyla inşa edilir. E-posta listesi satın almayın, kendi listenizi inşa edin. Bu konudaki hukuki sınırları Türkiye’de Cold Email Yasal mı? rehberimizde detaylıca ele aldık.
Hata 4: Formdan CRM’e “Amaç Aşımı” (Purpose Limitation)
Kişisel veriler, yalnızca aydınlatma metninde belirttiğiniz amaçla sınırlı olarak kullanılabilir. Ziyaretçi “Sektörel Raporu İndirmek” için e-posta adresini verdiyse bu veri “Rapor Gönderimi” amacıyla işlenmelidir. Eğer siz o kişiyi ertesi gün “Ürünümüzü satın alın” diye agresif telesatış aramalarına maruz bırakırsanız veya rızası dışında WhatsApp pazarlama gruplarına eklerseniz “amaçla bağlantılı ve sınırlı olma” ilkesini ihlal etmiş olursunuz.
✔️ Doğrusu Şu: CRM altyapınızda her lead’in bir “kaynak” (source) ve “izin” (consent) etiketi olmalıdır. Webinar için gelen veriyi sadece webinar iletişimi için kullanın. Eğer genel bir pazarlama iletişimine (nurture) dahil edecekseniz formda bunu açıkça belirten opsiyonel bir onay kutusu bulundurun.
Hata 5: Saklama Süreleri (Data Retention) İhlalleri
CRM sistemlerinin “dijital çöp evlere” dönüşmesi B2B firmalarında kronik bir sorundur. 5 yıl önce bir form doldurmuş, sonrasında hiçbir e-postanızı açmamış, hatta belki şirketten ayrılmış kişilerin verilerini “belki bir gün lazım olur” mantığıyla sonsuza kadar sisteminizde tutamazsınız. Kanun, verilerin işlenme amacı ortadan kalktığında silinmesini, yok edilmesini veya anonim hale getirilmesini şart koşar.
✔️ Doğrusu Şu: Şirketinizin bir “Veri Saklama ve İmha Politikası” olmalıdır. CRM sisteminizde (örneğin HubSpot), son 2 yıl içinde hiçbir etkileşime girmemiş, inaktif lead’leri otomatik olarak silecek veya kişisel verilerden (isim, e-posta, telefon) arındırıp sadece demografik bir istatistiğe dönüştürecek (anonimleştirme) rutin iş akışları (workflows) kurun.
Hata 6: Yurt Dışı Sunuculu Üçüncü Taraf Araçlara (SaaS) Aktarım
Pazarlama dünyasında kullandığımız araçların (HubSpot, Salesforce, Mailchimp, Zapier vb.) neredeyse tamamının sunucuları yurt dışındadır (ABD veya Avrupa). Türkiye’deki bir kullanıcının verisini sitenizdeki formdan alıp, sunucusu yurt dışında olan bu araçlara kaydettiğinizde teknik olarak “Yurt Dışına Veri Aktarımı” yapmış olursunuz. Yakın zamanda güncellenen KVKK kurallarına göre, bu aktarım ya özel bir açık rıza metniyle ya da Kişisel Verileri Koruma Kurumu’nun standart sözleşmeleri / güvenli ülke prosedürleriyle yapılmalıdır.
✔️ Doğrusu Şu: Kullandığınız araçların sunucu lokasyonlarını denetleyin. Aydınlatma metninizde ve açık rıza onayında, verilerin kullanılan CRM/Pazarlama araçları nedeniyle yurt dışındaki sunuculara aktarıldığını net bir şekilde belirtin. Konuyla ilgili güncel standart sözleşme şartlarını ve mevzuat güncellemelerini doğrudan KVKK’nın resmi web sitesinden (kvkk.gov.tr) takip ederek hukuk departmanınızla entegre çalışın.
Hata 7: Çerez (Cookie) ve Form İlişkisindeki Kopukluk
Kullanıcı web sitenize girdiğinde çerez (cookie) izni banner’ında “Tümünü Reddet” seçeneğini işaretlemiş olabilir. Ancak daha sonra gidip bir form doldurduğunda form aracınız (örneğin GTM üzerinden çalışan form izleyici) çerez tercihini hiçe sayarak bu lead’in trafik kaynağını (Google Ads, LinkedIn vb.) Google Analytics’e kişisel belirteçlerle aktarıyorsa KVKK ve GDPR çerez politikalarını delmiş olursunuz.
✔️ Doğrusu Şu: Form izleme (conversion tracking) mimariniz ile Çerez Yönetim Platformunuz (CMP) entegre çalışmalıdır. Kullanıcı çerezleri reddettiyse form doldursa bile Google’a gidecek sinyalin cookieless (anonimleştirilmiş ping) olması gerekir. Bu teknik mimarinin nasıl kurulması gerektiğini Google Consent Mode v2: Verileriniz Sessizce Kayboluyor Olabilir yazımızda detaylandırdık.
Sonuç ve Hukuki Bilgilendirme Notu
KVKK uyumlu lead generation, pazarlama performansını düşüren bir pranga değil; markanızın itibarını koruyan ve veritabanınızdaki lead kalitesini (gerçekten sizinle iletişim kurmak isteyen kişileri) artıran bir kalite filtresidir. İzinli pazarlama her zaman daha yüksek dönüşüm oranları (ROI) getirir.
Hukuki Bilgilendirme Notu: Bu yazı Mochatouch’ın B2B dijital pazarlama pratiklerinden süzülmüş bilgilendirme amaçlı bir içeriktir ve yasal tavsiye/mütalaa niteliği taşımaz. Kişisel Verilerin Korunması Kanunu kapsamındaki süreçleriniz, aydınlatma metinleriniz ve açık rıza beyanlarınız için mutlaka uzman bir bilişim avukatına veya hukuk danışmanına başvurunuz.
Sıkça Sorulan Sorular (SSS)
Sadece ilgili talebi yerine getirmek için zorunlu verileri topluyorsanız (örneğin bir fiyat teklifi iletmek) aydınlatma yeterlidir. Ancak topladığınız bu veriyi genel e-posta bültenlerine eklemek, telesatış listelerine dahil etmek veya yurt dışı sunuculu araçlara aktarmak istiyorsanız, ziyaretçinin özgür iradesiyle işaretleyeceği (önceden işaretli olmayan) ve hizmet şartına bağlanmamış bir açık rıza kutusu (opt-in) zorunludur.
Hayır. İnternetten toplanmış, satın alınmış veya kazınmış (scraped) veritabanlarına önceden onay (opt-in) almadan pazarlama e-postası göndermek hem KVKK (kişisel veri ihlali) hem de ETK ve İYS kuralları çerçevesinde hukuka aykırıdır. Hukuki ve idari yaptırımları olan ciddi bir risktir.
Kanun’da standart ve tek bir yıl sınırı yoktur; kural “işlendikleri amaç için gerekli olan süre kadar muhafaza etmektir”. Ancak pazarlama verileri sonsuza kadar saklanamaz. Şirketinizin bir imha politikası olmalı ve belirli bir süre (örneğin 2 yıl) hiçbir etkileşim göstermemiş, inaktif pazarlama lead’leri periyodik olarak CRM sisteminden silinmeli veya anonim hale getirilmelidir.
