Gayrimenkul KVKK Rehberi: Lead Verisi, Açık Rıza, WhatsApp ve Reklam Formları

Gayrimenkul KVKK rehberi: lead verisi, aydınlatma ile açık rıza ayrımı, İYS onayı, yurt dışına aktarım ve CRM veri işleyen sözleşmesi.

Gayrimenkul KVKK uyumu, satış ofisinin her gün yüzlerce kişinin verisini işlediği gerçeğiyle başlar: reklam formundan gelen ad ve telefon, WhatsApp konuşmaları, satış ofisi ziyaret kayıtları, bütçe ve tercih notları, teklif ve sözleşme bilgileri. 6698 sayılı Kişisel Verilerin Korunması Kanunu bu verilerin toplanmasından silinmesine kadar her adımı düzenler. 2024'te kanun değişikliğiyle yurt dışına aktarım rejimi, 2026'da Kurul ilke kararıyla açık rıza uygulaması sıkılaştı. Uyumsuzluğun bedeli ceza dışında satışı da bitirir: ilk aramada "numaramı nereden buldunuz" sorusuna verilemeyen cevap, görüşmeyi orada kapatır.

Aşağıda lead verisinin yaşam döngüsü altı adımda ele alınıyor: toplama ve aydınlatma, pazarlama izni, saklama ve erişim, yurt dışına aktarım, CRM sağlayıcıyla ilişki, VERBİS ve yazılı politika. Genel bilgi amaçlıdır. Kendi durumunuz için hukuk danışmanınıza başvurun.

Gayrimenkul KVKK uyumunda aydınlatma ve açık rıza ayrıdır

En sık yapılan hata, tek bir onay kutusuyla hem aydınlatma hem açık rıza almaya çalışmaktır. Kişisel Verileri Koruma Kurulu, 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararıyla (Resmî Gazete, 24 Mart 2026) aydınlatma metni ile açık rıza metninin ayrı ayrı düzenlenmesi gerektiğini duyurdu. Karar, aydınlatma için "okudum, anladım" dışında onay ifadesi kullanılmamasını da istiyor.

Aydınlatma, kanunun 10. maddesi gereği veri toplanırken yapılan bilgilendirmedir: verinin hangi amaçla işlendiği, kimlere aktarılabileceği, hangi hukuki sebeple toplandığı ve ilgili kişinin hakları. Onay gerektirmez, ancak yapılmış olduğu belgelenmelidir.

Açık rıza ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Her işleme faaliyeti için rıza gerekmez. Sözleşme kurulması ya da meşru menfaat gibi hukuki sebepler varken rıza istemek Kurul'un yerleşik görüşüne göre yanıltıcıdır. Rıza, bu sebeplerin olmadığı işlemelere, tipik olarak pazarlama iletişimine ve bazı aktarımlara saklanır.

Reklam formu ve satış ofisi formu için örnek kurgu:

• Form altında: "Kişisel verilerinizin işlenmesine ilişkin [aydınlatma metnini] okudum, anladım." (bağlantı, ayrı satır, onay kutusu yok)
• Ayrı bir kutuda, işaretsiz: "Proje ve kampanya bilgilendirmelerini almak istiyorum." Kanal seçimiyle: SMS, e-posta, arama.

İki kutunun tek satırda birleştirilmesi ya da önceden işaretli gelmesi geçersizdir.

Kampanya mesajı ayrı İYS onayı ister

Lead'e proje bilgisi, kampanya ya da yeni etap duyurusu göndermek ticari elektronik iletidir ve 6563 sayılı Kanun kapsamında ayrı bir onay ister. Onay, İleti Yönetim Sistemi'ne (İYS) kaydedilir. SMS, e-posta ve arama için ayrı ayrı alınır. Kurul, 2 Eylül 2022 tarihli ve 2022/902 sayılı kararında, onayı olmayan müşterilere pazarlama SMS'i gönderilmesini hukuka aykırı buldu ve idari para cezası uyguladı.

Satış ofisi için ayrım şudur: müşterinin kendi talebine cevap vermek (form doldurdu, arıyorsunuz) onay gerektirmez. Talep kapandıktan sonra yeni proje duyurusu göndermek onay gerektirir. CRM'de lead kartında pazarlama izni alanı, onayın tarihi ve kanalıyla tutulmalı. İzni olmayan lead'e toplu mesaj gönderimi engellenmelidir.

Saklama süresi ve temsilcinin telefonu

Kanun, verinin amaç için gerekli süre kadar saklanmasını ve sonra silinmesini ister. Satış ofisinde bu, kaybedilen lead için tanımlı bir saklama süresi ve yeniden pazarlama izni yoksa imha demektir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, periyodik imhanın altı ayı geçmeyen aralıklarla yapılmasını öngörür.

Erişim tarafında en büyük risk, temsilcinin kişisel telefonunda biriken müşteri verisidir. Temsilci ayrıldığında yüzlerce lead'in numarası ve konuşma geçmişi onunla gider. Bu, kanunun 12. maddesindeki veri güvenliği yükümlülüğünün ihlalidir ve olası bir veri ihlali bildirimi konusudur. Rol bazlı yetki satış ofisi için zorunludur: müşteri iletişimi şirket hattı ve CRM üzerinden yürütülür, temsilci yalnızca kendisine atanmış lead'leri görür.

Temsilci ayrılışında beş adımlı erişim kapatma listesi:

1. CRM ve e-posta hesabı aynı gün kapatılır; lead'ler başka temsilciye devredilir.
2. Şirket hattı ve WhatsApp Business hesabı geri alınır, cihaz sıfırlanır.
3. Reklam hesapları ve paylaşılan dosyalardaki yetkiler kaldırılır.
4. Temsilcinin kişisel cihazında şirket verisi olup olmadığı yazılı beyanla teyit edilir.
5. Devir teslim tutanağı imzalanır; hangi lead'lerin kime geçtiği kaydedilir.

Satış ofisi ziyaretçisinin kaydı da aynı çerçevede: ziyaret formu bir aydınlatma içermeli, alınan bilgi CRM'e amaçla sınırlı girilmelidir. Bu kaydın nasıl alınacağını satış ofisine gelen ziyaretçi kayda giriyor mu yazısında anlattık.

Yurt dışına aktarım: Meta, WhatsApp, Google ve bulut

Reklam formu Meta'da, sohbet WhatsApp'ta, ölçüm Google'da ve CRM bulutta tutuluyorsa lead verisi yurt dışına aktarılıyor demektir. Bu araçların her biri aktarım kapsamındadır. 2024'te 7499 sayılı Kanun'la kanunun 9. maddesi yeniden yazıldı. Açık rıza artık aktarımın genel dayanağı değil, arızi hâllerde başvurulan istisnasıdır. Asıl yol, Kurul'un yeterlilik kararı verdiği ülkelere aktarım ya da uygun güvencelerdir. Kurul henüz yeterlilik kararı yayımlamadığı için pratikte en yaygın güvence, Kurul'un yayımladığı standart sözleşmedir.

Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurul'a bildirilir. Bildirim yükümlülüğüne aykırılığın idari para cezası 2026 için en fazla 1.806.177 TL'dir. Reklam platformlarıyla bu sözleşme pratikte imzalanamıyor. Bu aktarımların dayanağını hukuk danışmanınızla belirleyin ve aydınlatma metninde aktarımın yapıldığını açıkça yazın. CRM sağlayıcınızın sunucuları yurt dışındaysa standart sözleşme ve bildirim sizin sorumluluğunuzdadır. Sağlayıcıya sorulacak ilk soru budur.

CRM sağlayıcısıyla veri işleyen sözleşmesi

Satış ofisi veri sorumlusudur. CRM sağlayıcısı, veriyi sizin adınıza işleyen veri işleyendir. Kanunun 12. maddesi veri güvenliği için ikisini birlikte sorumlu tutar. Bu ilişki yazılı bir veri işleyen sözleşmesiyle kurulmalıdır: işleme amacı ve kapsamı, güvenlik tedbirleri, alt işleyenler (barındırma, e-posta, SMS sağlayıcıları), ihlal bildirimi süresi, sözleşme sonunda verinin iadesi ve silinmesi.

Sağlayıcıya sorulacak beş soru:

1. Veri hangi ülkede tutuluyor?
2. Alt işleyen listesi yayımlanıyor mu?
3. İhlal durumunda size kaç saat içinde bildirim yapılır?
4. Temsilci bazlı yetki ayrımı var mı?
5. Sözleşme bittiğinde veriyi hangi biçimde geri alırsınız?

Proje CRM'in veri işleyen sözleşmesi ve alt işleyen listesi sitede yayımlanır. aydınlatma metnimiz de açıktır.

VERBİS eşiği altında da yükümlülük sürer

Yıllık çalışan sayısı 50'den fazla ya da yıllık mali bilanço toplamı 100 milyon TL'den fazla olan veri sorumluları Veri Sorumluları Sicili'ne (VERBİS) kayıt yaptırmakla yükümlüdür. Ana faaliyeti özel nitelikli veri işlemek olanlar için eşik aranmaz. Eşiğin altındaki firmalar kayıttan muaf olsa da aydınlatma, güvenlik ve imha yükümlülükleri aynen sürer. Yazılı saklama ve imha politikası VERBİS'e kayıtlı veri sorumluları için zorunludur. Kayıtlı olmayanlar için de tavsiye edilir, çünkü denetimde ve müşteri sorusunda ilk istenen belge budur. Üç belge her durumda hazır olmalı: aydınlatma metni, açık rıza ve pazarlama izni metinleri, saklama ve imha politikası.

Uyum kontrol listesi

• Aydınlatma metni ile açık rıza metni ayrı; rıza kutusu önceden işaretli değil.
• Reklam formlarında aydınlatma bağlantısı ve kanal seçimli ayrı pazarlama izni kutusu var.
• Pazarlama mesajı için İYS onayı kanal bazında alınıyor ve CRM'de tutuluyor.
• Saklama ve imha politikası yazılı; periyodik imha en geç altı ayda bir.
• Müşteri iletişimi şirket hattı ve CRM üzerinden; temsilci yalnızca kendi lead'lerini görüyor.
• Temsilci ayrılışında beş adımlı erişim kapatma listesi uygulanıyor.
• Yurt dışına aktarım için dayanak belirlendi; standart sözleşme varsa beş iş günü içinde bildirildi.
• CRM sağlayıcısıyla veri işleyen sözleşmesi imzalı; alt işleyen listesi elinizde.
• VERBİS yükümlülüğü kontrol edildi.

Sık Sorulan Sorular

Reklam formundan gelen lead'i aramak için açık rıza gerekir mi?

Müşterinin kendi talebine cevap vermek için genellikle açık rıza gerekmez. Aydınlatma yapılmış olmalıdır. Talep dışı pazarlama iletişimi için ayrı pazarlama izni ve İYS onayı gerekir. Kendi durumunuz için hukuk danışmanınıza sorun.

Aydınlatma metni ile açık rıza metni birleştirilebilir mi?

Hayır. Kurul'un 18 Şubat 2026 tarihli ilke kararına göre iki metin ayrı düzenlenmelidir.

WhatsApp'tan müşteriyle yazışmak KVKK'ya uygun mu?

Şirket hattı, aydınlatma ve kayıt düzeniyle mümkündür. Veri yurt dışına aktarıldığı için aydınlatma metninde belirtilmelidir. Temsilcinin kişisel telefonunda müşteri verisi tutulması veri güvenliği açısından risklidir.

Kaybedilen lead'in verisi ne kadar saklanır?

Amaç için gerekli süre kadar. Süre yazılı saklama ve imha politikasında tanımlanır ve periyodik imha en geç altı ayda bir yapılır.

CRM sağlayıcısı KVKK sorumluluğunu üstlenir mi?

Sağlayıcı veri işleyendir. Veri güvenliğinden veri sorumlusuyla birlikte sorumludur. Sorumluluk paylaşımı yazılı veri işleyen sözleşmesiyle belirlenir.

Satış operasyonunuzu Proje CRM ile yönetin

Veri işleyen sözleşmesi ve alt işleyen listesi yayımlanmış bir CRM ile lead sürecinizi kurmak için 15 dakikalık demo talep edin. Sözleşme ve alt işleyen belgelerimizi demo öncesinde inceleyebilirsiniz.

Kaynaklar: 6698 sayılı Kişisel Verilerin Korunması Kanunu (m. 3, 5, 9, 10, 12); 7499 sayılı Kanun (2024) ile değişik m. 9; KVK Kurulu ilke kararı, 18.02.2026, 2026/347 (RG 24.03.2026); KVK Kurulu karar özeti, 02.09.2022, 2022/902; 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve İYS; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik; Veri Sorumluları Sicili Hakkında Yönetmelik ve 2026 eşikleri. Bu yazı hukuki görüş değildir.