KVKK Uyumlu Chatbot Kontrol Listesi 2026: GDPR, PDPL ve LGPD

KVKK uyumlu chatbot kurmak ya da bir yapay zeka chatbot'u için GDPR uyum kontrol listesi hazırlamak eskiden bir gizlilik bağlantısı ve çerez bildirimi demekti. 2026'da bu liste artık AB Yapay Zeka Yasası'nın 2 Ağustos 2026'dan itibaren geçerli olan chatbot bildirim yükümlülüğünü ve Körfez ile daha geniş MENA bölgesindeki, Türkiye, Hindistan ve Brezilya'daki veri koruma kanunlarını, ayrıca ABD'de eyalet eyalet değişen tabloyu da kapsamak zorunda. Bu rehber size 10 pratik adım, ülkelere göre ihlal bildirim süreleri tablosu ve Irak ile Kürdistan Bölgesi'nin durumuna dair net bir görünüm veriyor.

Bu kontrol listesi genel bilgidir, hukuki tavsiye değildir; faaliyet gösterdiğiniz her ülkede yetkin bir avukata danışın.

Önemli Noktalar

• AB Yapay Zeka Yasası, chatbot'ların yapay zeka olduklarını açıklamasını zorunlu kılıyor; bu apaçık olmadığı sürece. 50(1). madde 2 Ağustos 2026'dan beri uygulanıyor ve Temmuz 2026 tarihli Digital Omnibus bunu ertelemedi.
• Düzenleyicilerin çoğu 72 saatlik bir ihlal saati işletiyor, ama hepsi değil. GDPR, Suudi PDPL kuralları, KVKK Kurulu, Mısır, Bahreyn, Umman ve Ürdün 72 saat üzerinden çalışıyor; ADGM ise "gecikmeksizin ve mümkün olduğu hâllerde 72 saati aşmadan" diyor. Kuveyt lisanslı sağlayıcılara 24 saat veriyor, DIFC yalnızca "uygulanabilir olan en kısa sürede" diyor ve Brezilya'da ANPD 3 iş günü istiyor. ABD'de tek bir süre yok: ihlal bildirimi her eyaletin ayrı ihlal kanunundan geliyor ve California'da bu süre, etkilenen sakinlere bildirim için tespitten itibaren 30 takvim günü.
• GDPR'ın 28(3). maddesi, her veri işleyenle bağlayıcı bir sözleşme (DPA) yapılmasını şart koşuyor; bu genellikle gelen kutusu platformunuzu ve yapay zeka model sağlayıcınızı kapsar.
• Irak'ta özel sektörü kapsayan bütüncül bir veri koruma kanunu yürürlükte değil, Kürdistan Bölgesi'nde de yok; bu yüzden GDPR düzeyinde bir uygulama mantıklı bir taban çizgisi.
• Yapay zeka destekli bir otomatik yanıt aracı, mesajları yanıtlamak için okumak zorundadır; dolayısıyla erişim kontrolü, saklama sınırları ve şifrelenmiş kimlik bilgileri en az aktarım sırasındaki şifreleme kadar önemlidir.

2026'da KVKK uyumlu chatbot kontrol listesi kimin işine yarar?

GDPR uyumlu bir chatbot, kişisel verileri hukuka uygun bir sebebe dayanarak işler, insanlara verilerine ne olduğunu anlatır, veriyi güvende tutar ve haklarını kullanmalarına imkân verir. WhatsApp, Instagram veya Telegram üzerinden satış yapan bir işletme genellikle yerel kanunlara da hesap verir:

• AB: GDPR (25 Mayıs 2018'den beri uygulanıyor) ve Yapay Zeka Yasası'nın 50. maddesi. AB'deki kişilere AB dışından hizmet veriyorsanız GDPR'ın sizin için geçerli olup olmadığını hukuk danışmanınıza sorun.
• Amerika Birleşik Devletleri: tek bir federal gizlilik kanunu yok. Yükümlülükler çoğunlukla eyalet düzeyinde ve başı California'nın CCPA/CPRA'sı çekiyor; buna otomatik pazarlama aramaları ile mesajları için TCPA rızası ve Maine örneğinde olduğu gibi eyaletlerin bot bildirim kuralları ekleniyor.
• Suudi Arabistan: geçiş süresi 14 Eylül 2024'te sona eren Suudi PDPL. Düzenleyicisi SDAIA ve kapsam, Suudi Arabistan'da bulunan kişilere ait verilerin yurt dışında işlenmesini de içeriyor.
• BAE (federal): 2021 tarihli 45 sayılı Kanun Hükmünde Kararname, Ocak 2022'den beri yürürlükte; Uygulama Yönetmelikleri hâlâ yayımlanmadı.
• DIFC: 2020 tarihli 5 sayılı Kanun; işleme faaliyetini her yıl Komiser'e bildirmeniz gerekiyor ve 10. maddenin otonom sistemlere ilişkin kuralları chatbot'ları kapsıyor.
• ADGM: 2021 tarihli Veri Koruma Düzenlemeleri; işlemeye başlamadan önce Veri Koruma Ofisi'ne kayıt olun ve kaydı her yıl yenileyin.
• Katar: 2016 tarihli 13 sayılı Kanun, denetimi NCSA'da; açık rıza ve özel nitelikli veriler için ayrıca izin gerekiyor.
• Bahreyn: 2018 tarihli 30 sayılı Kanun; yurt dışına aktarım için PDPA'nın onaylı listesi, PDPA'nın izni ya da başka bir hukuki dayanak gerekiyor.
• Kuveyt: CITRA'nın düzenlemesi 2024'te lisanslı telekomünikasyon ve internet sağlayıcılarıyla sınırlandı; dolayısıyla işletmelerin çoğu kapsam dışında.
• Umman: 6/2022 sayılı Sultanlık Kararnamesi, 5 Şubat 2026'dan beri uygulanabilir; meşru menfaat dayanağı olmayan, rıza öncelikli bir rejim.
• Ürdün: 2023 tarihli 24 sayılı Kanun, Mart 2025'ten beri uygulanıyor; önceden rıza ve yurt dışına aktarım için yeniden rıza gerekiyor.
• Fas: 09-08 sayılı Kanun; işleme faaliyetini önce CNDP'ye beyan edin ve yurt dışına aktarım için CNDP'den izin alın.
• Mısır: 151/2020 sayılı Kanun; Uygulama Yönetmelikleri (2025 tarihli 816 sayılı Karar) uyum için yaklaşık 2026 Kasım başına kadar süre tanıyor.
• Türkiye: KVKK (6698 sayılı Kanun), 1 Haziran 2024'ten itibaren 7499 sayılı Kanun'la değiştirildi.
• Hindistan: 2023 tarihli DPDP Kanunu; Kurallar Kasım 2025'te yayımlandı, esaslı yükümlülüklerin çoğu yaklaşık Mayıs 2027'den itibaren geçerli.
• Brezilya: LGPD (13.709/2018 sayılı Kanun), uygulayıcısı ANPD.

Amerika Birleşik Devletleri'nde yapay zeka chatbot uyumu: CCPA, TCPA ve bot bildirimi

Genel bilgidir, hukuki tavsiye değildir. Bu kanunlardan herhangi birinin size uygulanıp uygulanmadığı cironuza, kayıt sayılarınıza, sektörünüze ve veri türlerinize bağlıdır; hukuk danışmanınıza teyit ettirin.

ABD eyalet gizlilik kanunlarına dair yayımlanan sayılar yönteme göre değişiyor: Eylül 2026 itibarıyla yaklaşık 20'si yürürlükte, 24'ü kabul edilmiş durumda.

California'nın CPRA ile değiştirilen CCPA'sı; California'da faaliyet gösteren, eyalet sakinlerinin kişisel bilgilerini toplayan ve üç eşikten birini aşan kâr amaçlı işletmelere uygulanıyor: 26.625.000 doları aşan küresel yıllık brüt ciro (1 Ocak 2025'te yürürlüğe giren rakam); 100.000 veya daha fazla California tüketicisinin ya da hanesinin kişisel bilgisini satın almak, satmak veya paylaşmak; ya da cironun %50 veya fazlasının kişisel bilgi satışından veya paylaşımından gelmesi. California altı hak tanıyor: bilgi edinme, silme, düzeltme, satış ve paylaşımdan çıkma (opt-out), hassas kişisel bilgilerin kullanımını sınırlama ve ayrımcılığa uğramama. Diğer eyaletler ortak bir çekirdeği paylaşıyor: bir gizlilik metni ile hedefli reklam, satış ve belirli profilleme faaliyetleri için çıkma hakkı. Çoğu buna hassas veriler için açık rıza (opt-in) şartını ekliyor; serbest metinle akan sohbet ise bunu önceden sınıflandıramaz.

En keskin mekanizma sözleşmeler: CCPA yönetmeliklerine göre (§7051(c)) uyumlu bir hizmet sağlayıcı sözleşmesi olmayan bir tedarikçi hizmet sağlayıcı sayılmıyor ve ona kişisel bilgi açıklamak satış ya da paylaşım kabul edilebiliyor. Yaklaşık bir düzine eyalet ayrıca evrensel çıkma (opt-out) sinyaline uyulmasını istiyor; bu, WhatsApp, Instagram veya Telegram'da değil, widget'ınızın bulunduğu web sayfasında geçerli. Global Privacy Control California, Colorado ve Connecticut'ta tanınıyor; liste değiştiği için doğrulayın.

Bunların üzerine sektör kuralları biniyor: müşteriniz kapsam içindeki bir kuruluşsa (covered entity) ve sohbette sağlık verisi geçiyorsa HIPAA devreye giriyor. Meta ve Telegram standart işletme mesajlaşması için iş ortağı sözleşmesi (business associate agreement) imzalamıyor, dolayısıyla korunan sağlık bilgisi bu kanallardan geçemez. Banka dışı finans şirketleri için GLBA Safeguards Rule, 13 yaş altı veriler için COPPA de bunlara ekleniyor. FTC Act'in 5. bölümü uyarınca, yayımladığınız gizlilik ve güvenlik iddialarının doğru olması gerekiyor.

Giden pazarlama ayrı bir konu. TCPA; ABD'deki mobil numaralara otomatik arayıcıyla veya önceden kaydedilmiş sesle gönderilen pazarlama aramaları ve mesajları için önceden alınmış açık yazılı rıza istiyor. Kanuni tazminat, ihlal oluşturan arama veya mesaj başına 500 dolar; kasıtlı ya da bilerek yapılan ihlallerde 1.500 dolara kadar çıkıyor ve genellikle mesaj başına hesaplanıyor. Rızanın geri alınması makul her yolla iletilebiliyor ve 10 iş günü içinde uygulanması gerekiyor. TCPA'nın internet üzerinden iletilen WhatsApp mesajlarını kapsayıp kapsamadığı ise belirsiz; bu yüzden yazılı onayı (opt-in) yerleşik bir kural değil, ihtiyatlı bir taban çizgisi olarak görün. Zaten Meta'nın WhatsApp Business Messaging Policy'si de onay alınmasını şart koşuyor.

Bot bildirimi de eyalet düzeyinde. 24 Eylül 2025'ten beri yürürlükte olan Maine'in chatbot kanunu (10 M.R.S. §1500-DD) en geniş kapsamlısı ve sıradan satış ile destek botlarını da kapsıyor. Utah, tüketici sorduğunda bildirim yapılmasını; sağlık veya finansal veri toplayanlar gibi yüksek riskli etkileşimlerde ise bunun kendiliğinden yapılmasını istiyor. California'nın B.O.T. Act'i (bot bildirim kanunu) daha dar kapsamlı: yanıltma kastı, aylık 10 milyon veya daha fazla tekil ABD ziyaretçisi olan kamuya açık platformlar ve güvenli liman sağlayan açık bir bildirim.

Adım 1: Chatbot'unuzun topladığı kişisel veriyi ve nereye aktığını haritalayın

Veri haritalama, botun temas ettiği her kişisel veri parçasını, nerede saklandığını ve kimin aldığını listelemek demektir. Her kanal için şunları kaydedin:

• Müşterilerin gönderdikleri: isimler, telefon numaraları, e-postalar, adresler, sipariş detayları, fotoğraflar ve sesli notlar.
• Sizin sakladıklarınız: konuşma geçmişi, kişi profilleri ve yapay zeka prompt logları.
• Sistemleri birbirine bağlayanlar: kanal erişim tokenları, yapay zeka sağlayıcı API anahtarları ve webhook gizli anahtarları.
• Verinin gittiği yerler: mesajlaşma platformu, gelen kutusu sağlayıcınız, yapay zeka model sağlayıcısı ve varsa CRM veya ödeme aracı.

Her sağlayıcının saklama süresini de not edin. Meta, WhatsApp Cloud API için veri işleyen sıfatıyla hareket ettiğini ve Cloud API mesajlarını en fazla 30 gün sakladığını belirtiyor (Meta geliştirici dokümanları). Cloud API ile Business uygulaması karşılaştırmamıza bakabilirsiniz.

Adım 2: Hukuka uygun bir işleme sebebi seçin ve gerektiğinde açık rıza alın

GDPR'ın 6. maddesi işleme için hukuka uygunluk sebeplerini sayıyor. Araç başına değil, amaç başına bir sebep seçin:

• Sipariş veya destek sorularını yanıtlamak bir amaçtır.
• Pazarlama duyuruları ve takip mesajları ayrı bir amaçtır; ayrı bir rıza gerekip gerekmediğini kontrol edin.
• Sohbetleri yapay zekanızı iyileştirmek için yeniden kullanmak başka bir amaçtır; bunu sessizce paket içine koymayın.

Sebebi veri haritanızda her amacın yanına yazın ve aldığınız rızaların kanıtını saklayın.

Adım 3: Kullanıcılara bir yapay zekayla konuştuklarını söyleyin (AB Yapay Zeka Yasası 50. madde)

AB Yapay Zeka Yasası'nın 50(1). maddesine göre, insanlarla etkileşen bir yapay zeka sistemi, zaten apaçık olmadığı sürece, ilk etkileşimden itibaren açık biçimde yapay zeka olduğunu bildirmek zorunda. Bu yükümlülük 2 Ağustos 2026'dan beri uygulanıyor ve Avrupa Komisyonu'nun 50. madde SSS'sine göre cezası 15 milyon avroya veya dünya çapındaki cironun %3'üne kadar çıkabiliyor. 27 Temmuz 2026'dan beri yürürlükte olan yapay zekaya ilişkin Digital Omnibus bunu ertelemedi. Yükümlülüğün sizin kurulumunuza nasıl uygulandığını hukuk danışmanınıza sorun ve chatbot aracınızın bu bildirimi gösterip göstermediğini kontrol edin.

• Her DM konuşmasında botun ilk yanıtına tek satırlık bir bildirim koyun; örneğin "Merhaba, ben [Marka] yapay zeka asistanıyım."
• Veriyi kişilerden topladığınızda GDPR'ın 13. maddesinin gerektirdiği bilgileri veren bir gizlilik metnine bağlantı verin.
• Bazı ABD eyaletleri de aynı şeyi istiyor: Maine 24 Eylül 2025'ten beri, Utah ise tüketici sorduğunda ya da yüksek riskli bir etkileşimde.

Adım 4: Botun topladığı, sakladığı ve yapay zeka modellerine gönderdiği veriyi en aza indirin

Veri minimizasyonu, yalnızca işin gerektirdiği kadarını toplamak demektir. Daha az veri; güvenliği sağlanacak, silinecek ve raporlanacak daha az şey demektir.

• Teslimat veya çalışma saati sorularını yanıtlamak için kimlik numarası ya da doğum tarihi istemeyin.
• Müşterilere sohbette asla kart numarası veya parola göndermemelerini söyleyin ve botun bunları reddetmesini sağlayın.
• Yapay zeka modeline tüm müşteri kaydını değil, yalnızca ihtiyaç duyduğu bağlamı gönderin.
• Yapay zeka sağlayıcınızın, API verisinin eğitimde kullanılıp kullanılmadığına dair koşullarını okuyun.
• Şikâyetler, iadeler veya müşteri üzerinde gerçek etkisi olan her karar için insana devir seçeneği sunun.

Adım 5: Kimlik bilgilerini, tokenları ve müşteri kişisel verilerini aktarımda ve durağan hâlde şifreleyin

GDPR'ın 32(1)(a) maddesi, takma adlaştırmayı ve şifrelemeyi birer güvenlik tedbiri olarak sayıyor. GDPR'ın 34(3)(a) maddesine göre, şifreleme ihlale uğrayan veriyi anlaşılmaz hâle getirdiyse kişileri bilgilendirmeniz gerekmez. Yine de 33. madde kapsamında düzenleyiciye bildirim yapmanız gerekebilir.

• Her API çağrısı ve webhook için HTTPS/TLS kullanın.
• Kanal erişim tokenlarını, yapay zeka API anahtarlarını ve webhook gizli anahtarlarını uygulama düzeyinde, anahtarı veritabanından ayrı tutarak şifreleyin; böylece sızdırılan bir veritabanı dökümü WhatsApp ya da Instagram hesabınızı ele geçirmeye yetmez.
• Telefon numarası ve adres gibi yüksek riskli iletişim alanlarını şifreleyin.

Sınırı bilin: yapay zeka yanıtı yazan bir sunucu mesaj metnini okumak zorundadır, dolayısıyla 6. ve 7. adımlar en az şifreleme kadar önemlidir.

Adım 6: Rol bazlı erişimi uygulayın ve denetim loglarını tutun

Rol bazlı erişim kontrolü (RBAC), her kişiye yalnızca işinin gerektirdiği izinleri verir:

• Sahadaki ekip konuşmaları ve kişileri görür; faturalandırmayı, yapay zeka ayarlarını veya API anahtarlarını değil.
• Salt okunur kullanıcılar yalnızca ihtiyaç duyduklarını görür ve değiştiremez.
• Birisi ayrıldığı gün erişimini kaldırın ve görmüş olabileceği anahtarları yenileyin.
• Hassas ayarları kimin değiştirdiğini loglayın.

Hindistan'da DPDP'nin 6. Kuralı, güvenlik tedbirleri arasında logların bir yıl saklanmasını sayıyor. Kullandığınız her sağlayıcıya, çalışan erişimi için hangi kontrolleri işlettiğini ve erişimin nasıl kaydedildiğini sorun; yanıtları veri haritanızla birlikte saklayın.

Adım 7: Saklama süreleri belirleyin, silme ve erişim taleplerini yönetin

GDPR'ın 17. maddesi kişilere silinme hakkı tanıyor; yani tek bir kişinin verisini tüm sistemlerde bulup kaldırabilecek bir yönteme ihtiyacınız var.

• Açık konuşmalar, kapalı konuşmalar ve pazarlama kişileri gibi her veri tipi için ayrı bir saklama süresi tanımlayın.
• Süre dolduğunda veriyi silin veya anonimleştirin; bunu otomatikleştirmek iyi bir uygulamadır.
• Bir talep akışı kurun: kimliği doğrulayın, gelen kutusunu, CRM'i, yapay zeka loglarını ve dışa aktarımları arayın, sonra işlemi yapıp kayıt altına alın.
• Hesap verdiğiniz her kanunda yanıt süresini takip edin. Hindistan'da, esaslı DPDP Kuralları yürürlüğe girdiğinde (yaklaşık Mayıs 2027) Veri Emanetçileri (Data Fiduciary) hak taleplerini 90 gün içinde yanıtlamak zorunda. California'da doğrulanabilir talepler için 45 gün var ve bu süre bir kez uzatılabiliyor.

Facebook veya Instagram bağlıyorsanız, gelen kutusu sağlayıcınızın Meta'nın veri silme taleplerini nasıl işlediğini kontrol edin.

Adım 8: Her veri işleyenle DPA imzalayın ve yurt dışına aktarımı kontrol altına alın

Veri işleme sözleşmesi (DPA), GDPR'ın 28(3). maddesinin sizinle, sizin adınıza kişisel veri işleyen her taraf arasında şart koştuğu bağlayıcı sözleşmedir. Bir yapay zeka chatbot'u için bu genellikle gelen kutusu platformu, yapay zeka model sağlayıcısı ve mesajlaşma API sağlayıcısı demektir. Alt işleyicileri, yapay zeka eğitiminde kullanımı, sözleşme bitiminde silmeyi ve sağlayıcının bir ihlali size ne kadar hızlı bildirmek zorunda olduğunu kontrol edin. ABD aynı fikri bir koşula dönüştürüyor; yukarıdaki CCPA §7051(c) hizmet sağlayıcı kuralına bakın.

Aktarımlar da dikkat ister. Türkiye'de 7499 sayılı Kanun'dan bu yana yurt dışına aktarım için bir yeterlilik kararı, Kurul'un standart sözleşmesi gibi uygun güvenceler ya da dar kapsamlı bir istisna gerekiyor. Kurul henüz bir yeterlilik listesi yayımlamadı ve istisnalar yalnızca arızi, süreklilik arz etmeyen aktarımları kapsıyor; yani sürekli işleyen bir chatbot hattını taşıyamazlar: planınızı Kurul'un standart sözleşmesi üzerine kurun ve bu sözleşmenin gerektirdiği bildirim adımlarını kontrol edin. Suudi Arabistan dışında barındırma yapmanız, Suudi Arabistan'da bulunan kişilere ait veriyi işliyorsanız sizi Suudi PDPL'nin kapsamından çıkarmaz; Suudi Arabistan'dan yapılan aktarımlar için de izin verilen bir amaç ile birlikte yeterlilik ya da belgelenmiş bir risk değerlendirmesi eşliğinde bir güvence gerekiyor. Brezilya, ANPD'nin madde metnini değiştirmeden kullanmanızı şart koşuyor. Model sağlayıcınıza hangi aktarım güvencesine dayandığını sorun ve bunun hesap verdiğiniz her kanunu karşıladığını hukuk danışmanınızla teyit edin.

Adım 9: Her ülkenin süresine göre bir ihlal müdahale planı hazırlayın

İhlal planı, ilk 72 saatte kimin ne yapacağını söyleyen kısa bir uygulama kılavuzudur; çünkü çoğu saat, ihlalden haberdar olduğunuz anda işlemeye başlar.

• Bir olay sorumlusu ve bir yedek belirleyin.
• Hesap verdiğiniz her düzenleyiciyi ve süreyi listeleyin (aşağıdaki tabloya bakın).
• Desteklediğiniz her dilde, Arapça ve Kürtçe dâhil, müşteri bildirim şablonları hazırlayın.
• Kanal tokenlarını, yapay zeka API anahtarlarını ve webhook gizli anahtarlarını hızla nasıl iptal edip yenileyeceğinizi belgeleyin.

Adım 10: KVKK uyumlu chatbot kontrol listenizi düzenli aralıklarla gözden geçirin

• Şimdi: Mısır'ın yaklaşık 2026 Kasım başındaki uyum süresine hazır olduğunuzu doğrulayın.
• Üç ayda bir: ekip erişimini, bağlı kanalları ve aktif API anahtarlarını gözden geçirin.
• Altı ayda bir: bir test silme talebi ve bir ihlal tatbikatı yapın.
• Her değişiklikte: yeni bir kanal, yapay zeka modeli veya sağlayıcı eklediğinizde veri haritanızı ve sağlayıcı listenizi güncelleyin ve her yeni yapay zeka kullanımı için bir gizlilik riski taraması yapın.
• Yılda bir: her ülkeyi yeniden kontrol edin; özellikle BAE'nin Uygulama Yönetmeliklerini, Hindistan'ın yaklaşık Mayıs 2027'de başlayan aşamasını ve Irak'ın kanun taslağını.

Ülkelere hızlı bakış: durum ve ihlal bildirim süreleri (Eylül 2026)

Ülke/Bölge	Temel kanun	Durum (Eylül 2026)	Düzenleyiciye ihlal bildirimi
AB/AEA	GDPR + Yapay Zeka Yasası 50. md.	Yürürlükte	72 saat (GDPR 33. md.)
ABD (federal)	Genel bir gizlilik kanunu yok; FTC Act 5. bölüm, TCPA, sektör kuralları	Genel kanun yok; sektör kuralları yürürlükte	Genel bir federal yükümlülük yok; yalnızca sektör kuralları (HIPAA: ilgili kişilere tespitten itibaren 60 gün içinde, 500 ve üzeri kişiyi etkileyen ihlallerde HHS'ye 60 gün içinde, diğer hâllerde takvim yılının bitiminden itibaren 60 gün içinde; GLBA Safeguards Rule: 500 veya daha fazla tüketicinin şifrelenmemiş müşteri bilgisini içeren bir olayın tespitinden itibaren 30 gün içinde FTC'ye)
California (CCPA/CPRA)	Cal. Civ. Code §1798.100 vd.	Yürürlükte; CPPA yönetmelikleri 1 Ocak 2026'da yürürlüğe girdi	CCPA'da belirlenmemiş; ayrı bir kanun olan §1798.82 (SB 446 ile değiştirildi, 1 Ocak 2026'da yürürlükte) etkilenen eyalet sakinlerine bildirim için tespitten itibaren 30 takvim günü veriyor; 500'den fazla California sakini etkilendiğinde ayrıca tüketicilere bildirimden sonraki 15 gün içinde California Başsavcılığı'na bildirim gerekiyor. Süreler eyaletten eyalete değişiyor
Suudi Arabistan	PDPL (M/19, M/148 ile değiştirildi)	14 Eylül 2024'ten beri uygulanabilir	SDAIA'ya 72 saat (Yönetmelik 24. md.)
BAE (federal)	2021 tarihli 45 sayılı Kanun Hükmünde Kararname	Yürürlükte; Uygulama Yönetmelikleri yayımlanmadı	"Derhal"; saat sayısı belirtilmemiş
DIFC	2020 tarihli 5 sayılı DIFC Kanunu	Yürürlükte; 2022 ve 2025'te değiştirildi	Uygulanabilir olan en kısa sürede (41. md.); 72 saat kuralı yok
ADGM	2021 tarihli Veri Koruma Düzenlemeleri	Yürürlükte ve uygulanıyor	Gecikmeksizin, mümkün olduğu hâllerde 72 saat
Katar	2016 tarihli 13 sayılı Kanun (PDPPL)	Yürürlükte; NCSA rehberleri yayımlandı	Kanunda yok; NCSA rehberi 72 saat bekliyor
Bahreyn	2018 tarihli 30 sayılı Kanun	Yürürlükte; PDPA 2022'den beri faal	Tespitten itibaren PDPA'ya 72 saat
Kuveyt	CITRA düzenlemesi, 2024'te değiştirildi	Yalnızca CITRA lisanslı sağlayıcıları bağlıyor	24 saat, yalnızca lisans sahipleri için
Umman	6/2022 sayılı Sultanlık Kararnamesi	5 Şubat 2026'dan itibaren tam uygulanabilir	MTCIT'e 72 saat
Ürdün	2023 tarihli 24 sayılı Kanun	Geçiş süresi 17 Mart 2025'te sona erdi	72 saat; ilgili kişilere 24 saat içinde
Mısır	151/2020 sayılı Kanun	Uyum süresi yaklaşık 2026 Kasım başında doluyor	PDPC'ye 72 saat
Fas	09-08 sayılı Kanun	Yürürlükte; beyan rejimi	Yok: 09-08 sayılı Kanun genel bir ihlal bildirimi yükümlülüğü öngörmüyor
Türkiye	KVKK (6698 sayılı Kanun)	Yürürlükte, Haziran 2024'te değiştirildi	KVKK Kurulu'na 72 saat
Hindistan	2023 tarihli DPDP Kanunu	Yükümlülüklerin çoğu yaklaşık Mayıs 2027'den itibaren	72 saat içinde ayrıntılı rapor (7. Kural)
Brezilya	LGPD	Yürürlükte, yaptırımlar Ağustos 2021'den beri	ANPD'ye 3 iş günü, küçük ölçekli işleyenler için iki katı
Irak	Özel sektörü kapsayan bütüncül bir kanun yok	Kanun taslağı mevcut	Kanuni bir yükümlülük yok; yerel hukuk danışmanınıza teyit ettirin
Kürdistan Bölgesi	Bütüncül bir kanun yok; 2008 tarihli 6 sayılı Kanun	—	Kanuni bir yükümlülük yok; yerel hukuk danışmanınıza teyit ettirin

Irak ve Kürdistan Bölgesi: DataGuidance kaynağına göre Irak'ta gizlilik, özel bir kanuna değil 2005 Anayasası'na dayanıyor. Kürdistan Bölgesi'nin buna en yakın düzenlemesi, telekomünikasyon cihazlarının kötüye kullanımına dair 2008 tarihli 6 sayılı Kanun.

Raabt, Suudi Arabistan, Körfez ve ötesindeki uyum çalışmanızı nasıl destekliyor?

Bu bir özellik haritasıdır, bir uyumluluk sertifikası değil. Hiçbir araç sizi tek başına uyumlu hâle getirmez: hukuka uygunluk sebebiniz, aydınlatma metinleriniz, saklama süreleriniz ve sözleşmeleriniz sonucu belirler. Bir platformun yapabileceği şey, her kanunun sizden beklediği kontrolleri elinizin altına vermektir.

Kanunun istediği	Raabt'ın bugün sunduğu	Sizin sorumluluğunuzda kalan
Güvenlik tedbirleri (GDPR 32. md., Suudi PDPL, Bahreyn, Umman, Ürdün, KVKK)	Kanal erişim tokenları, yapay zeka sağlayıcı anahtarları, webhook gizli anahtarları ve müşteri telefon numaraları, e-postaları ile sipariş adresleri AES-256-GCM ile şifreleniyor; parolalar Argon2id ile hash'leniyor; tek kullanımlık kodlar yalnızca HMAC-SHA256 hash'i olarak saklanıyor	Saklama süreleri, cihaz şifrelemesi ve dışa aktardığınız her şeyin güvenliği
Erişim kontrolü ve en az yetki ilkesi	Bölüm bazlı izinlere sahip dört rol (owner, admin, agent, viewer), yalnızca owner'a açık faturalandırma, parolayla girişte e-postayla gönderilen tek kullanımlık kod ve çıkışta oturum iptali	Kimin erişimi olduğunu gözden geçirmek ve ayrılanların erişimini aynı gün kaldırmak
İnsanlara yapay zekayla konuştuklarını söylemek (AB Yapay Zeka Yasası 50. md., Maine, Utah)	Yapay zeka ayarları izne bağlı bir bölüm; böylece botun nasıl yanıt verdiğini yalnızca seçtiğiniz roller değiştirebilir	Bildirim cümlesini yazmak, botun ilk mesajına koymak ve her kanalda göründüğünü kontrol etmek
Her müşterinin verisini ayrı tutmak	İşletme uç noktaları, herhangi bir veri döndürmeden önce çağrıyı yapanın o işletmenin aktif bir üyesi olduğunu doğruluyor	Çalışma alanınıza kimi davet edeceğinizi seçmek
Silme talepleri (GDPR 17. md. ve muadilleri)	Veri silme sayfasında onay kodu ve durum bağlantısı sunan Meta veri silme geri çağrısı; hesap silme parolanızla birlikte e-postayla gönderilen bir kod gerektiriyor, ardından hesabı devre dışı bırakıp e-postasını anonimleştiriyor	Tek tek müşterilerin silme talepleri ile kendi saklama ve silme politikanız
Doğrulanmış, bütünlüğü sınanan entegrasyonlar	Geçerli bir X-Hub-Signature-256 imzası olmayan Meta webhook'ları reddediliyor, Telegram webhook'ları gizli bir token istiyor ve ekler yalnızca süresi dolan HMAC imzalı bağlantılarla sunuluyor	Ekipten biri ayrıldığında kanal tokenlarını ve API anahtarlarını yenilemek
İhlal müdahalesi (AB, Suudi Arabistan, Bahreyn, Umman, Ürdün ve Türkiye'de 72 saat; Kuveyt'te lisans sahipleri için 24 saat; ABD'de eyalet bazlı kurallar)	Raabt'ın kendi platform ekibinin işlemleri, gizli bilgiler maskelenerek yalnızca ekleme yapılabilen bir loga (kim, ne, ne zaman, IP) yazılıyor	Olay müdahale kılavuzunuz, düzenleyici bildirimleriniz ve müşteri bildirimleriniz
Veriyi yurt dışına göndermek	Yapay zeka sağlayıcı API anahtarları ve servis hesabı JSON dosyaları uygulama düzeyinde şifreleniyor (AES-256-GCM)	Metninizi hangi yapay zeka sağlayıcısının işleyeceğini seçmek, aktarım değerlendirmeniz, standart sözleşmeleriniz ve varsa yerel bildirimleriniz

Raabt bugün işletme verisini korumak için ne yapıyor?

Hiçbir araç sizi tek başına uyumlu hâle getirmez; sonuç, aracı nasıl yapılandırdığınıza ve kullandığınıza bağlıdır. Yapay zeka chatbot'unuzu Raabt üzerinde çalıştırıyorsanız, bugün devrede olan kontroller şunlar:

• Şifrelenmiş kimlik bilgileri ve seçili iletişim bilgileri: kanal erişim tokenları (Facebook, Instagram, WhatsApp, Telegram), yapay zeka sağlayıcı API anahtarları, webhook gizli anahtarları ve müşteri telefon numaraları, e-postaları ile sipariş adresleri uygulama düzeyinde AES-256-GCM ile şifreleniyor.
• Parolalar ve giriş kodları: parolalar Argon2id ile hash'leniyor. E-posta ve parolayla yapılan girişlerde oturum başlamadan önce e-postayla gönderilen tek kullanımlık bir kod isteniyor; Google ile girişte bu kod kullanılmıyor.
• Rol bazlı ekip erişimi: bölüm bazlı izinlere sahip dört rol (owner, admin, agent, viewer); faturalandırma erişimi owner dışındaki rollere devredilemiyor.
• İşletmeler arası izolasyon: işletme uç noktaları, çağrıyı yapanın o işletmenin aktif bir üyesi olduğunu doğruluyor; aksi hâlde "bulunamadı" dönüyor.
• Doğrulanmış webhook'lar: geçerli bir X-Hub-Signature-256 imzası olmayan Meta webhook'ları reddediliyor ve Telegram webhook'ları gizli bir token gerektiriyor.
• Oturum iptali: çıkış yapıldığında oturumlar, kimlik doğrulaması gerektiren her istekte kontrol edilen bir engelleme listesi üzerinden iptal ediliyor.
• Meta silme talepleri: Raabt, Meta'nın veri silme geri çağrısını destekliyor ve veri silme sayfasında bir durum bağlantısı sunuyor.
• Hesap silme: parola ve e-postayla gönderilen tek kullanımlık bir kod gerekiyor. Hesap anında devre dışı bırakılıyor ve e-postası anonimleştiriliyor, ancak bu işlem konuşma ve kişi verisini silmiyor.

Planlamanız gereken bir sınır: konuşmalar uçtan uca şifreli değildir, çünkü Raabt'ın sunucuları yapay zeka yanıtları üretmek için mesajları okumak zorundadır. Yanıtı oluşturan bir sunucunun önce mesajı okuması gerekir.

Saklama sürelerinizi, erişimi ve müşteri bildirimlerinizi bunu göz önünde bulundurarak planlayın ve gizlilik politikamıza göz atın.

Sıkça Sorulan Sorular

Genel bilgidir, hukuki tavsiye değildir.

Yapay zeka chatbot'um GDPR'a uyumlu mu?

Bunu yalnızca kendi kurulumunuzun incelenmesi yanıtlayabilir. Amaç başına hukuka uygun bir sebep, açık bir gizlilik metni, her veri işleyenle bir DPA, şifreleme gibi uygun güvenlik tedbirleri ve çalışan silme talepleri olup olmadığını kontrol edin.

Chatbot'un yapay zeka olduğunu müşterilere belirtmek zorunlu mu?

AB'de genel olarak evet. 2 Ağustos 2026'dan beri Yapay Zeka Yasası'nın 50(1). maddesi, insanlarla etkileşen yapay zeka sistemlerinin bunu, apaçık olmadığı sürece, ilk etkileşimden itibaren açıkça belirtmesini gerektiriyor. ABD'de Maine, ticari bir chatbot'un tüketiciyi bir insanla konuştuğu izlenimine kaptırabileceği hâllerde bildirim istiyor; Utah ise tüketici sorduğunda ve sağlık veya finansal veri toplayanlar gibi yüksek riskli etkileşimlerde kendiliğinden bildirim yapılmasını istiyor.

AB Yapay Zeka Yasası müşteri hizmetleri chatbot'larını kapsıyor mu?

Evet, insanlarla etkileşen yapay zeka sistemleri için 50. maddedeki şeffaflık yükümlülükleri üzerinden. Digital Omnibus, bağımsız yüksek riskli (Ek III) tarihlerini 2 Aralık 2027'ye, Ek I tarihlerini ise 2 Ağustos 2028'e taşıdı. Kullanım senaryonuzun yüksek riskli olup olmadığını hukuk danışmanınıza sorun.

ABD gizlilik kanunları WhatsApp veya Instagram chatbot'uma uygulanır mı?

Çoğu zaman evet; tek bir federal kanun üzerinden değil, eyalet eyalet. Bir telefon numarasına ya da Instagram kullanıcı adına bağlı sohbet kayıtları bu kanunlar kapsamında kişisel bilgi sayılıyor; üzerine bot bildirim yükümlülükleri ile giden pazarlama için TCPA rızası ekleniyor. Eşikler ve TCPA'ya dair açık soru için yukarıdaki ABD bölümüne bakın.

Chatbot sağlayıcımla DPA imzalamam gerekir mi?

GDPR kapsamında, sağlayıcı sizin adınıza kişisel veri işliyorsa evet; çünkü 28(3). madde her veri işleyenle bağlayıcı bir sözleşme şart koşuyor. Alt işleyicileri, yapay zeka eğitimi koşullarını ve sözleşme bitiminde silmeyi kontrol edin.

GDPR kapsamında chatbot konuşmaları ne kadar süre saklanabilir?

Kopyalayabileceğiniz tek bir rakam yok. Yaygın yaklaşım, konuşmaları belirttiğiniz amacın gerektirdiği süre kadar tutmak, bu süreyi gizlilik metninizde müşterilere söylemek ve sonrasında veriyi silmek ya da anonimleştirmektir. Süreyi hukuk danışmanınıza teyit ettirin.

Irak'ta veri koruma kanunu var mı?

Özel sektör için bütüncül bir kanun yok, ancak bir kanun taslağı mevcut. 2005 Anayasası'nın 17. maddesi kişisel gizliliği, 40. maddesi ise haberleşmeyi koruyor. Kürdistan Bölgesi'nde de bütüncül bir kanun yok; bu yüzden şimdilik GDPR düzeyinde bir uygulama mantıklı bir taban çizgisi.

Şifrelenmiş kanal kimlik bilgileri ve rol bazlı ekip erişimiyle yapay zeka otomatik yanıtlarını çalıştırmaya hazır mısınız? Ücretsiz başlayın.