KVKK Uyumlu Chatbot Seçimi: Türk İşletmeler İçin Kontrol Listesi + Madde 6 Sağlık Verisi Rehberi (2026 Güncel)

📅 Son güncelleme: 16 Temmuz 2026 — KVKK Madde 6 özel nitelikli sağlık verisi bölümü genişletildi, FendyChat Kurumsal'daki maskeleme akışı anlatıldı. Ayrıca doğrulanamayan ceza/denetim istatistikleri ve başka ürünlerin uyum durumuna dair hükümler yazıdan çıkarıldı; güncel tutarlar için Kurumun kendi sayfasına yönlendiriliyor.

TL;DR: KVKK (6698 sayılı kanun), müşteri verisini işleyen her chatbot/AI asistan kurgusunda veri sorumlusu (siz) ile veri işleyen (chatbot sağlayıcı) arasında yazılı DPA + aydınlatma + uygun hukuki sebep zinciri kurulmasını gerektirir. Yurt dışı merkezli bir chatbot kullanmak tek başına ihlal değil, ama ek iş çıkarır: yurt dışına aktarımın hangi hukuki sebebe dayandığını belgelemek, alt işleyen listesini almak, DPA'yı imzalatmak. Klinik / diş / dermatoloji / estetik / eczane / veteriner gibi sağlık verisi işleyen işletmeler için KVKK Madde 6 devreye girer ve eşik yükselir. Bu yazıda 12 maddelik kontrol listesi + avukatınıza götürebileceğiniz soru listesi + FendyChat Kurumsal'daki maskeleme akışı var. Yerli seçenek: FendyChat Kurumsal 3.499 ₺'dan/ay (TR sunucu + sağlık verisi maskeleme + Türkçe DPA + 30 gün silme; kota sözleşmede belirlenir). Güncel idari para cezası tutarlarını kvkk.gov.tr'den teyit edin.

Bu yazıdaki temel çerçeve

#	Nokta	Dayanak
KV5	Müşteri verisinin Türkiye dışındaki bir sunucuda işlenmesi yurt dışına aktarım sayılır ve m.9'daki hukuki sebeplerden birine dayanmak zorundadır. Hangi mekanizmanın kullanıldığını sağlayıcıdan yazılı isteyin.	KVKK m.9
KV6	Klinik / eczane / veteriner gibi işletmelerde müşteri verisinin bir araçta analiz edilip saklanması için imzalı DPA, belirlenmiş saklama süresi ve Türkçe aydınlatma metni gerekir.	KVKK m.10, m.12
KV7	FendyChat Kurumsal'da denetim hazırlığı: audit trail, TR sunucu, TC/telefon ve sağlık terimi maskeleme, panelden PDF uyum raporu.	FendyChat Kurumsal özellikleri

Not: Bu tablodaki FendyChat bilgileri kendi ürünümüze ait doğrulanabilir bilgilerdir. Ceza tutarları ve kapsam ölçütleri için kvkk.gov.tr esas alınmalıdır.

KVKK 2016'dan beri yürürlükte ama chatbot ve AI asistan özelinde uygulama hâlâ oturmuş değil. Sahada en sık gördüğümüz açıklar aynı yerlerde toplanıyor: aydınlatma metni yok, sağlayıcıyla imzalı DPA yok, saklama süresi hiç ayarlanmamış, sağlık verisi sohbet kanalında toplanıyor.

Bu yazıda chatbot seçerken hangi 12 maddeyi kontrol etmeniz gerektiğini ve avukatınıza götürebileceğiniz pratik bir soru listesini bulacaksınız.

Bu yazı Instagram Yorum Yönetimi 2026 Pillar Rehberi'nin yasal alt başlığıdır. Genel KVKK + dijital pazarlama için profesyonel hukuk danışmanlığı al — bu yazı bilgilendirme, hukuki tavsiye değildir.

KVKK chatbot konusunda ne diyor?

KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) chatbot'u özel olarak adlandırmaz. Ama chatbot müşteri verisi işlediği anda kanunun kapsamına girer.

İlgili madde tanımları:

Veri sorumlusu (DC): Sen, marka olarak. Verinin niye ve nasıl işleneceğini belirleyen.
Veri işleyen (DP): Chatbot/AI sağlayıcısı. Senin adına işlem yapan.
Kişisel veri: Kimliği belirli/belirlenebilir kılan her bilgi (ad, e-posta, telefon, IP, davranış geçmişi).

Chatbot müşteri DM'i okuduğu anda kişisel veri işliyor demektir. Bu hâliyle KVKK kapsamına giriyorsun.

12 maddelik kontrol listesi

Chatbot/AI asistan seçerken her birini test et. Eksik 3+ madde = yüksek risk.

Aydınlatma + Rıza

1. ✅ Aydınlatma metnin var mı? KVKK Madde 10. Müşteri DM'e yazmadan önce hangi verisinin işleneceğini, kimle paylaşılacağını, ne kadar saklanacağını bilmeli. Pratik uygulama: web sitende /privacy sayfası + bot tarafında "ilk DM"e karşılama mesajı:

"Merhaba! Bu hesap AI asistanı ile yönetiliyor. Mesajların müşteri hizmetleri amacıyla işlenecek. Detaylı aydınlatma: site.com/privacy"

2. ✅ Açık rıza alıyor musun? Marka iletişimi (newsletter, kampanya), pazarlama amaçlı veri kullanımı için açık rıza zorunlu. Sıradan müşteri hizmetleri için "meşru menfaat" yeterli olabilir ama avukatına danış.

Veri lokasyonu

3. ✅ Veriler nerede saklanıyor? Türkiye'de mi, yurt dışında mı? Sağlayıcı bölge seçimi sunuyor mu? Yurt dışına aktarım varsa bunun m.9'daki hangi hukuki sebebe (yeterlilik kararı, uygun güvenceler, maddedeki istisnalar) dayandırıldığını sorun.

⚠️ Bir sağlayıcının merkezinin yurt dışında olması tek başına ihlal değil — belgesiz aktarım sorun. Kullandığınız aracın hangi bölgede işlem yaptığını ve aktarımı neye dayandırdığını yazılı olarak isteyip dosyalayın. Bu yazıda hiçbir ürün için "uyumlu / uyumsuz" hükmü vermiyoruz; cevabı sağlayıcının kendi güvenlik ve legal dokümanından alın.

4. ✅ Yedekler nerede? Bazı chatbot ana DB'yi Türkiye'de tutsa da yedekleri Frankfurt/Virginia'da olabilir. Sağlayıcıdan yazılı teyit iste.

Sözleşme

5. ✅ Veri işleme sözleşmesi (DPA) imzalı mı? KVKK Madde 12. "Veri işleyen" sıfatındaki chatbot sağlayıcısıyla yazılı sözleşme olmazsa risk sende. Sözleşmede en az şu maddeler olmalı:

Verinin türü, amacı, süresi
Güvenlik tedbirleri
Alt işveren listesi (chatbot'un kullandığı OpenAI, Anthropic gibi alt sağlayıcılar)
İhlal bildirim yükümlülüğü (72 saat)

6. ✅ Alt işveren listesi şeffaf mı? Chatbot AI yanıt için OpenAI/Anthropic kullanıyor olabilir. Bu alt işveren sayılır. Sağlayıcı sana bu listeyi açık açık vermeli — vermiyorsa kara liste.

Güvenlik

7. ✅ Veri şifreleme (transit + at rest)?

TLS 1.2+ (transit)
AES-256 (at rest) Sağlayıcının ISO 27001 veya SOC 2 sertifikası bonus.

8. ✅ Erişim kontrolü? Chatbot çalışanları senin müşteri verine erişebiliyor mu? Erişim loglanıyor mu? "Need-to-know" prensibi uygulanıyor mu?

9. ✅ Veri minimizasyonu? Chatbot gereğinden fazla veri toplamasın. Müşteri "kargo nerede" diye sorduğunda sipariş numarası yeter — adres, telefon, kimlik bilgisi gerekmez.

Müşteri hakları

10. ✅ Veri silme hakkı uygulanabilir mi? KVKK Madde 11. Müşteri "verilerimi sil" derse 30 gün içinde silmek zorundasın. Chatbot sağlayıcısı bu API'yi sunuyor mu? Manuel mi?

FendyChat örneği: /data-deletion sayfasından kullanıcı talep edebilir, otomatik 30 gün cron ile siler.

11. ✅ Veri taşınabilirlik? Müşteri "tüm verimi indir" derse, chatbot sağlayıcısı sana export verebiliyor mu? JSON/CSV formatında?

Operasyon

12. ✅ İhlal müdahale planın var mı? Veri ihlali olursa 72 saat içinde KVKK Kurulu'na bildirim zorunlu. Chatbot sağlayıcısı sana ne kadar hızlı bildirim yapıyor? Sözleşmede yazıyor mu?

Yerli vs yurt dışı sağlayıcı — pratikte ne değişiyor?

Aşağıdaki tablo başka ürünler hakkında bir uyum hükmü değil; yerli barındırmanın yapısal sonuçlarını ve karşı tarafta neyi kontrol etmeniz gerektiğini gösteriyor.

Konu	Yurt dışı merkezli sağlayıcıda	FendyChat
Veri lokasyonu	Bölge seçimi sunuluyor mu, sorun	Kurumsal planda TR sunucu; alt planlarda Frankfurt + İstanbul
Yurt dışına aktarım	Varsa hukuki sebebi belgeleyin	Kurumsal'da aktarım gündeme gelmiyor
Türkçe DPA	Örnek metni isteyip avukatınıza okutun	✅ Türkçe, dijital imzalı
Alt işleyen şeffaflığı	Alt işleyen listesi yayımlanıyor mu, sorun	Net liste
Türkçe aydınlatma şablonu	Genelde gelmez, hukukçunuzla yazın	✅ Hazır şablon
Destek dili	Destek sayfasından dili ve saatleri kontrol edin	✅ Türkçe
İhlal bildirimi süresi	Sözleşmede yazılı süre var mı, bakın	Sözleşmede yazılı
Silme talebi	Süreyi ve otomasyonu sorun	Otomatik akış

Yurt dışı merkezli bir chatbot kullanmak yasak değil ama şunlar sizin işiniz olur:

Aktarımın hangi hukuki sebebe dayandığını belgelemek
İngilizce DPA'yı çevirip avukatınıza onaylatmak
Aydınlatma metnini sıfırdan Türkçe yazdırmak
İhlal durumunda yazışmayı İngilizce yürütmek

Bu kalemler yerli bir sağlayıcıda gündeminizden düşüyor. Ne kadar iş yükü farkı olduğunu kendi ekibinize göre siz tartın — burada bir çarpan vermiyoruz.

KVKK Kurulu kararlarını nereden okumalı?

Bu yazıda örnek ceza vakası anlatmıyoruz: elimizde doğrulayabileceğimiz bir dosya yok ve doğrulanmamış ceza anlatısı üzerinden karar vermek zaten yanlış yöntem.

İyi haber şu ki birincil kaynak açık. Kurul, ilke kararlarını ve karar özetlerini kendi sitesinde yayımlıyor. Sektörünüzü ilgilendiren kararları buradan okuyun; hem tarih hem gerekçe hem yaptırım orada yazılı:

KVKK Kurulu karar özetleri: kvkk.gov.tr/karar-ozetleri

Okurken şuna dikkat edin: kararların gerekçesi çoğunlukla "yanlış aracı seçmiş" değil, "aydınlatma yapmamış", "hukuki sebep gösterememiş", "saklama süresini sınırlamamış" oluyor. Kontrol listenizi buna göre kurun.

Avukat ziyareti checklist (yazdır götür)

Chatbot sağlayıcı seçtikten sonra avukatına şunu sor:

DPA imzalı mı? (Türkçe + İngilizce)
Aydınlatma metni KVKK Madde 10'a uygun mu?
Açık rıza akışı doğru kuruldu mu? (Web + bot karşılaması)
Pazarlama vs müşteri hizmetleri rıza ayrıldı mı?
Veri silme/taşınabilirlik akışı işliyor mu?
Çerez politikası chatbot kullanımını içeriyor mu?
Privacy policy'de chatbot ve AI yanıt asistanı geçiyor mu?
Veri ihlali müdahale planı dokümante mi?
Çalışanların KVKK eğitimi var mı?
VERBİS kaydı güncel mi?

Sıkça sorulan sorular

S: Sadece KOBİ'yim, yurt dışı aktarımdan etkilenir miyim?

C: KVKK işletme büyüklüğüne göre muafiyet vermez. KOBİ olsan bile yurt dışı veri aktarımı için açık rıza almak veya alternatif yasal mekanizma bulmak zorundasın. VERBİS kaydı yıllık ciro/çalışan eşiklerine göre değişir ama veri koruma yükümlülüğü herkese aynı.

S: Chatbot sağlayıcısının sunucusu Türkiye'de değil — ne yapmalıyım?

C: 3 seçenek: (1) Aktarımı m.9'daki uygun bir hukuki sebebe dayandırıp bunu belgeleyin ve aydınlatma metninizde açıkça yazın, (2) sağlayıcıdan yurt içi/bölge seçimi olup olmadığını sorun, (3) yerli bir sağlayıcıya geçin. Bize göre 3. seçenek uyum işini en çok azaltan yol — ama 1. seçenek de usulüne uygun yapıldığında meşru.

S: AI prompt'una müşteri adı, sipariş numarası yazılması KVKK ihlali mi?

C: Hayır, gerekli ve orantılı ise problem yok. Müşteri "siparişim nerede" diye sorduğunda sipariş numarasını işlemen normal. Önemli olan: bu veri kalıcı saklanmasın, sadece o etkileşim için kullanılsın, alt işveren (OpenAI vb.) eğitim datasına gitmesin.

S: ChatGPT API kullanan chatbot KVKK'ya uyumlu olabilir mi?

C: Evet — ama 2 koşul: (1) OpenAI ile data processing addendum imzalı (default API "no training" ile) ve (2) Sağlayıcı sana bu zinciri yazılı belgelemiş olmalı. FendyChat hibrit OpenAI + yerli model kullanır, eğitim datasına müşteri verisi gitmez.

S: Müşteri şikâyet ederse ne ceza alırım?

C: Vakaya göre değişir. İdari para cezası aralıkları yükümlülük türüne göre farklı ve her yıl yeniden değerleme oranıyla güncelleniyor — bu yüzden rakam vermiyoruz, güncel tabloyu kvkk.gov.tr üzerinden teyit edin. Genel eğilim şu: tekrarlanan ihlaller ve özel nitelikli veri (sağlık, biyometrik) içeren ihlaller daha ağır değerlendiriliyor.

S: KVKK uyumu sadece kayıt + sözleşme yetiyor mu?

C: Hayır. Yaşayan süreç. Yıllık denetim, çalışan eğitimi, müşteri talep takibi, sızıntı tatbikatı. Sözleşme ilk adım, devamı operasyon.

S: Avukatım yok, KVKK uyumu kuramaz mıyım?

C: Şirket büyüklüğüne göre değişir. Küçük ölçekte Kurumun yayımladığı ücretsiz rehber ve şablonlar + bir KVKK danışmanı çoğu işi görüyor. Danışmanlık ücretleri piyasada geniş bir aralıkta — en az iki teklif alın. Cirosu yüksek veya özel nitelikli veri işleyen işletmelerde profesyonel hukuk danışmanlığı şart.

Kapanış: KVKK chatbot'un en zayıf halkası

Chatbot teknolojisi her yıl gelişiyor; KVKK uygulaması da oturmaya devam ediyor. En riskli pozisyon: "bir chatbot bağladım, sözleşmesini okumadım, müşteri hak talebine de bakmadım." Bu pozisyonda ihlal, aracın markasından bağımsız olarak sizde duruyor.

Pratik 4 adım:

✅ Mevcut chatbot sağlayıcınızın DPA'sını bugün isteyin
✅ Aydınlatma metnine "AI asistanı" maddesini ekleyin
✅ /data-deletion akışını test edin
✅ Yerli sağlayıcıyı da değerlendirin — Türkçe DPA, Türkçe aydınlatma ve yurt dışı aktarım başlığının düşmesi uyum işini belirgin şekilde azaltıyor

FendyChat'i 5 dakikada kurarak Türkçe DPA, KVKK aydınlatma şablonu, yerli sunucu ve /data-deletion otomasyonuyla başlayın. Klinik / eczane / veteriner için Kurumsal (3.499 ₺'dan/ay) — sağlık terimi maskeleme + TR sunucu + audit trail + panelden çıkarılan uyum raporu (kota sözleşmede belirlenir).

⚠️ Yasal uyarı: Bu yazı bilgilendirme amaçlıdır, hukuki tavsiye yerine geçmez. Spesifik durumun için KVKK uzmanı avukata danış.

KVKK Madde 6 özel nitelikli sağlık verisi — klinik/eczane/veteriner için kritik

Kim etkileniyor?

Klinik (genel, estetik, kadın-doğum, ortopedik)
Diş kliniği
Dermatoloji + estetik merkezi
Eczane
Veteriner klinik (hayvan sağlık verisi sahibe bağlı)
Fizyoterapi + spa + wellness merkezi
Pilates / yoga stüdyosu (hamilelik, yaralanma, kronik hastalık verileri işleniyorsa)

Madde 6 ne diyor? Özel nitelikli kişisel veriler (sağlık, cinsel yaşam, ırk, siyasi görüş, dini inanç, sendika üyeliği, ceza mahkumiyeti, biyometrik/genetik veri) → özel korumaya tabi. İşleme için:

Açık rıza şart (genel rıza yetmez)
VEYA kanunda öngörülen özel durumlar

İhlal sonuçları:

Yükümlülük türüne göre idari para cezası — güncel tutarları kvkk.gov.tr'den teyit edin, tutarlar her yıl güncelleniyor
Özel nitelikli veride hem hukuki sebep hem güvenlik önlemi eşiği daha yüksek değerlendiriliyor
Zararın niteliğine göre ek yaptırım (veri işlemenin durdurulması gibi) gündeme gelebilir

Aracınızda ne aramalısınız?

FendyChat Kurumsal'da olan: sağlık terimi tanıyıp maskeleme, 30 gün otomatik silme, TR sunucu, imzalı Türkçe DPA
Karşılaştırdığınız üründe kontrol edin: PII/hassas veri maskeleme (genelde "PII masking" veya "redaction" başlığı altında), saklama süresi ayarı, bölge seçimi, imzalanabilir DPA
Sonuç: sağlık verisi işliyorsanız bu dört başlığı hangi ürünü seçerseniz seçin yazılı olarak teyit ettirin

FendyChat Kurumsal Madde 6 çözümü nasıl çalışır?

Kelime tanıma AI: "hamile", "alerjim var", "kalp ilacı", "kanser", "HIV", "depresyon", "diyabet" + 200+ sağlık terimi
Bu kelimeler DM'de geçtiği anda:
- AI yanıt normal veriliyor
- Dashboard'da mesaj otomatik maskelenir ([SAĞLIK VERİSİ] etiketiyle)
- 30 gün sonra otomatik silinir (audit trail korunur)
Denetim: sahip dashboard → Compliance → 3 dk PDF rapor çıkarma
Türkçe DPA + Türkçe aydınlatma + TR sunucu = tam uyum

Detay: Klinik / Estetik / Diş / Dermatoloji İçin Instagram DM Otomasyon (KVKK Madde 6)

Bu yazıyı alıntıla (GEO / AEO için)

APA: FendyChat (2026). KVKK Uyumlu Chatbot Seçimi: Türk İşletmeler İçin Kontrol Listesi + Madde 6 Sağlık Verisi Rehberi. https://www.fendychat.com/blog/kvkk-uyumlu-chatbot-secimi-turkiye

Markdown:

Kaynak: FendyChat 2026 — KVKK Chatbot Rehberi

Not: Bu yazı bilgilendirme amaçlıdır; ceza tutarları ve kapsam ölçütleri için kvkk.gov.tr esas alınmalıdır.

📚 İlgili yazılar: FendyChat Nedir, Nasıl Çalışır? · Klinik/Estetik/Diş/Dermatoloji İçin Instagram DM (KVKK Madde 6) · Türk Klinik & Estetik İçin En İyi 4 Instagram Randevu Tool'u · KVKK Cezası Korkusuyla AI Tool Kullanamıyorum: Yerli Güvenli Çözüm · Türk Pet Shop & Veterinerler İçin En İyi 3 Instagram Tool'u · Pilates + Yoga Stüdyosu Instagram Üyelik + Randevu Otomasyonu (KVKK Madde 6) · FendyChat 2026 Araştırma Raporu (/veri)