Whatsapp üzerinden mesaj göndermek KVKK m.9 kapsamında yurt dışına aktarım olarak değerlendirilir. Whatsapp’ın işletmeci tarafında kullanılan Whatsapp Business Platform’u (Cloud API) Meta tarafından işletilir ve veriler Türkiye dışındaki sunucularda işlenir. Ad, soyad ve telefon numarası kişisel veridir, rezervasyon bilgisi de bunlarla ilişkilendirildiğinde kişisel veri olur. Bu nedenle mesaj içeriği ve numaralar Meta’nın altyapısına gittiği için otel veri sorumlusu, Meta ise veri işleyen konumunda olur. Normal Whatsapp uygulamasından elle mesaj atmak ile API entegrasyonu arasında da fark vardır; API ile otomatik ve sistematik aktarım yapıldığı için riski daha görünür kılar.

2024 değişikliğinden sonra bu aktarım için yeterlilik kararı, standart sözleşme gibi uygun güvencelerden birine dayanmanız gerekir. Sürekli ve tekrarlı bir aktarımda yalnızca açık rıza sağlıklı bir dayanak değildir. Bu nedenle pratikte şunları öneririm: Meta’nın ticari işletme koşullarındaki veri işleme ekini inceleyip KVKK standart sözleşmesinin nasıl sağlandığını kontrol etmek, sözleşme imzalandıysa 5 iş günü içinde Kurum’a bildirmek, otelin aydınlatma metninde WhatsApp üzerinden bilgilendirme yapıldığını ve yurt dışı aktarım olduğunu açıkça belirtmek, rezervasyon formunda müşterinin WhatsApp ile iletişimi seçtiğini ayrıca göstermek. Ticari elektronik ileti niteliğindeki mesajlar (kampanya, tanıtım gibi) için ayrıca İleti Yönetim Sistemi ve ticari ileti onayı gerekir; yalnızca rezervasyon onayı, hatırlatma ve bilgilendirme gibi hizmet mesajları ise bunun dışında kalır. Mesaj içeriğinde de gereksiz kişisel veri (kimlik numarası, ödeme bilgisi) paylaşmamak veri minimizasyonu açısından önemlidir.

Uygulamanın mimarisine göre rolleriniz (otel mi veri sorumlusu, siz mi veri işleyen) değişebilir; bu nedenle otelle yapacağınız sözleşmede veri işleme şartlarının açıkça yazılması gerekir. Aktarım mekanizmasının kurulması, sözleşme ve aydınlatma metinlerinin hazırlanması için profesyonel hukuki destek almak üzere iletişime geçebilirsiniz.