Emlak CRM Veri Güvenliği: Müşteri Verin Kimin Elinde?

Adana'da Bir Telefon, Üç Yıllık Müşteri Arşivi

Adana'da bir ofis sahibi, geçen kış tatsız bir sürprizle uyandı. Ayrılan danışmanının yeni iş yerinden, kendi eski müşterilerine kampanya mesajları gitmeye başlamıştı.

Nasıl olduğu basitti: üç yılın müşteri kaydı, danışmanın kişisel telefon rehberinde ve WhatsApp geçmişinde tutulmuştu. Danışman giderken arşiv de gitti.

İşin ticari tarafı can yakıcı; hukuki tarafı daha da ciddi. O müşteriler verilerini ofise emanet etmişti, gidecekleri yeri seçme hakkı onlarındı. Üstelik ilk şikâyet telefonu da ofise geldi: "Numaramı bu adama siz mi verdiniz?"

Rakamlar da şakaya gelmiyor. KVKK idari para cezaları 2026'da güncellendi: tek bir yükümlülük ihlalinin alt sınırı 85 bin TL'yi aştı, üst sınır 17 milyon TL'ye dayandı.

Kaba bir kıyasla: en hafif cezanın alt sınırı bile ortalama bir satış komisyonuna denk. Yani tek bir ihmalin bedeli, bir aylık emeğin tamamı olabilir.

Bu yazı iki soruyu birlikte cevaplıyor: emlak ofisi müşteri verisini nasıl korur ve CRM seçerken güvenlik adına neleri sormalısın? Cevapların hepsi uygulanabilir; hukuk metni değil, saha rehberi okuyacaksın.

Emlakçı, Farkında Olmadan Bir Veri Merkezidir

Sıradan bir emlak işlemi boyunca elinden geçen bilgiye bir bak: ad soyad, TC kimlik, telefon, adres, tapu bilgisi, bütçe, kredi durumu, aile yapısı.

Bu liste, çoğu şirketin tuttuğundan daha hassas bir profil çıkarır. Üstelik tek işlemde iki tarafın da verisi işlenir: alıcının bütçesi ve kimliği, satıcının tapusu ve adresi. "Ben küçük esnafım, KVKK büyükleri ilgilendirir" cümlesi bu yüzden yanlış; 6698 sayılı Kanun veri işleyen herkesi kapsar, ölçek ayrımı yapmaz.

Küçük ofisi büyükten ayıran tek şey bazı bildirim yükümlülüklerinin kapsamı. Aydınlatma, açık rıza ve veri güvenliği tedbirleri ise tabela küçük de olsa aynen geçerli.

Pratikte bu üç anlama gelir. Müşteriye verisinin neden alındığı söylenmeli. Veri, işin gereği dışında kullanılmamalı. Ve verinin durduğu yer, yetkisiz erişime kapalı olmalı.

2026 ceza bantlarının kabaca görünümü şöyle:

İhlal Türü2026 Ceza BandıAydınlatma yükümlülüğünün ihlali85.437 - 1.709.200 TLVeri güvenliği yükümlülüklerinin ihlali256.357 - 17.092.242 TLKurul kararlarını yerine getirmeme427.263 - 17.092.242 TL

Tutarların resmi tablosu KVKK'nın idari para cezaları sayfasında yayımlanıyor ve her yıl yeniden değerleme oranıyla güncelleniyor; yön hep yukarı. Cezanın ölçeğe göre takdir edildiği doğru ama "küçük ofise küçük ceza" diye bir garanti yok.

Dijitalleşme bu yükü hafifletmedi, büyüttü. EİDS onayları, e-Devlet doğrulamaları, elektronik sözleşme arşivi derken emlak ofisinin işlediği veri hacmi her yıl katlanıyor. Veri büyüdükçe, durduğu yerin sağlamlığı da aynı hızla önem kazanıyor.

Üçüncü madde, bu yazının kalbi: verinin durduğu yer neresi?

En Riskli Sistem: Telefon Rehberi ve WhatsApp

Türkiye'deki emlak ofislerinin önemli kısmında müşteri arşivi hâlâ üç yerde yaşıyor: danışmanların telefon rehberi, WhatsApp yazışmaları ve masadaki defter.

Bu düzenin güvenlik karnesi kısaca şöyle: şifreleme yok, yedek yok, erişim kaydı yok, ayrılan personelde kalıyor. Üstelik bu karne kimseyi şaşırtmıyor; sorulduğunda çoğu ofis sahibi durumu biliyor, sadece "bir şey olmaz" diye erteliyor. Riskin adı konulmadığı sürece ertelemek kolay; bu bölümün işi adını koymak.

Adana örneği bu karnenin doğal sonucu. Kişisel telefondaki veri, hukuken ofisin sorumluluğunda ama fiilen danışmanın cebinde. Sorumluluk ile kontrol ayrı ellerde olunca, fatura hep sorumluya kesilir.

Aynı zincirin bir halkası da yapay zekâ araçları. Müşteri bilgisini olduğu gibi ChatGPT'ye yapıştırıp "şuna cevap yaz" demek, veriyi üçüncü bir tarafa aktarmaktır. Bu riskin boyutları ve güvenli kullanım kuralları emlakçının ChatGPT ve KVKK yazısında ayrıntısıyla var.

Bir de kayıp senaryosu var. Çalınan bir telefon, düşen bir bilgisayar, silinen bir Excel dosyası. Yedeği olmayan ofiste bunların her biri, yılların arşivinin tek saniyede buharlaşması demek.

Defter ve klasör tarafı da masum değil. Kira sözleşmesi fotokopileri, kimlik suretleri, tapu örnekleri; kilitsiz bir dolapta duran her klasör, fiziksel bir veri deposudur. Ofise giren herkesin uzanabildiği raf, dijital sızıntıdan daha eski ama aynı derecede ciddi bir açıktır.

Dağınık veri sadece verimsizlik değil; açık bir güvenlik ve mevzuat riskidir. Çözüm, veriyi tek çatı altına, kontrollü bir sisteme almaktan geçiyor.

CRM Güvenliği Nasıl Değiştirir? Dört Mekanizma

Doğru kurgulanmış bir CRM, güvenlik tarafında dört şeyi birden yapar.

Yetki katmanları. Her danışman her veriyi görmez. Yeni danışman kendi müşterilerini görür, ofis sahibi bütünü. Patron ayrımı değil, veri hijyeni. Müşteri kartında nelerin tutulduğu ve kimin neyi görebildiği müşteri CRM özellik sayfasında örnekleriyle duruyor.

Erişim kaydı. Kim, hangi kayda, ne zaman baktı; sistem not eder. Bir sızıntı şüphesinde elinde tahmin değil, kayıt olur.

Tek tıkla erişim kapatma. Danışman ayrıldığı gün hesabı kapatılır; müşteri arşivi ofiste kalır. Adana senaryosunun panzehiri tam olarak bu düğmedir; hukuki ve pratik detayı danışman ayrılınca portföy kimin olur yazısında.

Otomatik yedekleme. Veri tek telefonda, tek bilgisayarda değil; düzenli yedeklenen sunucularda durur. Cihaz kaybı, arşiv kaybı olmaktan çıkar.

Dördü birden, dağınık düzenin karnesini tersine çevirir. Ama dikkat: her CRM bu dördünü aynı ciddiyette yapmaz. Ayrım, doğru soruları sormakla başlar.

"Bulutta durursa çalınır" efsanesi

Sık duyulan bir itirazı da masaya alalım: "Veri internette duracaksa güvenli olamaz, en iyisi kendi bilgisayarım."

Karşılaştırma çoğu kişinin sandığının tersine çalışır. Kendi bilgisayarın: tek kopya, çoğu zaman şifresiz disk, güncellenmeyen sistem, yedek alınmayan dosyalar. Kurumsal bulut altyapısı: şifreli iletim, düzenli yedek, erişim kaydı ve bakımı meslek edinmiş ekipler.

Ofisteki bilgisayarın çalınması, bulut hesabının kırılmasından istatistiksel olarak çok daha olası. Soru "bulut mu, yerel mi" değil; "hangi bulut, hangi taahhütlerle" sorusudur. O taahhütlerin listesi de birazdan gelecek altı soruda.

Buluta geçen ofisin kendi tarafında yapacağı iki küçük iş kalır: güçlü şifre ve açıksa iki adımlı doğrulama. Kapı ne kadar sağlam olursa olsun, anahtarı paspasın altına koyan ev güvensizdir.

Satın Almadan Önce: 6 Güvenlik Sorusu

Teklif masasında fiyat kadar şu altı sorunun cevabını da iste. Kopyala, olduğu gibi sor.

Soruları yazılı sormanın ayrı bir değeri var: e-postayla gelen cevap, ileride sözleşmenin eki gibi çalışır. Telefonda verilen "tabii tabii, hepsi var" cevabı ise kaza gününde kimseyi bağlamaz.

1 — "Veriler hangi ülkede, hangi altyapıda tutuluyor?" Yurt dışına veri aktarımı KVKK'da ek şartlara bağlı; cevabı net olmayan satıcıyla yola çıkma.

2 — "Yedekleme hangi sıklıkta, geri dönüş nasıl?" Yedek almak yetmez; kaza günü kaç saatte geri dönülüyor, onu öğren.

3 — "Danışman bazlı yetki seviyeleri var mı?" Herkesin her şeyi gördüğü sistem, dijital bir açık defterdir.

4 — "Erişim ve işlem kayıtları tutuluyor mu?" Şüphe gününde "kim baktı" sorusuna cevap veremeyen sistem, seni korumaz.

5 — "Verimi istediğimde eksiksiz dışa aktarabilir miyim?" Veri sahipliği sende kalmalı; sistemden çıkış hakkın, sisteme giriş kadar net olmalı.

6 — "Sözleşmede veri işleme ve gizlilik maddesi var mı?" KVKK dilinde satıcı senin "veri işleyenin"dir; ilişkinin yazılı çerçevesi şarttır.

Altı soruya dolambaçsız cevap veren satıcı azdır. Veren, zaten sınıfı geçmiştir.

Kaza Günü: Sızıntı Şüphesinde İlk 72 Saat

Tedbir ne kadar iyi olursa olsun, kaza senaryosunu da bilmek gerekir. KVKK tarafında veri ihlalinin bir de saati vardır.

Kurulun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendikten sonra en geç 72 saat içinde Kuruma bildirim yapmalı. Etkilenen kişilere de makul sürede haber verilmeli; bildirim formu aynı sayfada hazır duruyor.

Bu yüzden şüphe anında ilk iş panik değil, kayıttır: ne zaman fark edildi, hangi veriler etkilenmiş olabilir, erişim kayıtları ne diyor. Erişim kaydı tutan bir sistemde bu soruların cevabı dakikalar içinde çıkar; rehber ve Excel düzeninde ise ortada cevap verecek kayıt yoktur.

İkinci iş, ihlali büyütmemek: şüpheli hesabın şifresi değiştirilir, gerekiyorsa erişim geçici kapatılır. Üçüncüsü belgelenmiş bildirim; Kurulun formu bellidir, dolduran ofis "saklamaya çalıştı" şüphesinden kurtulur.

72 saatlik pencere, dağınık düzenin lüksünü kaldırır. Bildirimi zamanında yapamayan ofis, ihlalin üstüne bir de bildirim cezası ekler.

Aydınlatma Metni: 10 Dakikalık Uygulama

En sık kesilen ceza kaleminin panzehiri, en kolay uygulanan tedbir: aydınlatma metni. On dakikalık bir kurulumla dert olmaktan çıkar.

Metnin cevaplaması gereken sorular basit: hangi veriler alınıyor, hangi amaçla işleniyor, kimlerle paylaşılıyor, ne kadar saklanıyor ve kişi haklarını nasıl kullanır. Beş soru, beş kısa paragraf.

Uygulama yerleri de belli. Müşteri kayıt formunun altına bir onay satırı, web sitesindeki iletişim formuna bir kutucuk, ofis panosuna bir çıktı. WhatsApp'tan gelen müşteriye de ilk kayıtta tek mesajlık bilgilendirme gönderilir.

Onay satırının iskeleti de şöyle kurulabilir, kendi ofisine uyarlarsın:

"Paylaştığım iletişim ve talep bilgilerinin, gayrimenkul alım-satım ve kiralama hizmeti sunulması amacıyla [ofis adı] tarafından kaydedilmesini ve bu amaçla sınırlı olarak işlenmesini kabul ediyorum. Aydınlatma metnini okudum."

İki uyarı: metni başka sektörden kopyalayıp "emlak" kelimesi ekleyerek kullanma; işlediğin veriyle metindeki liste uyuşmazsa metin seni korumaz. Ve metni yazıp klasöre gömme; gösterilmeyen aydınlatma, yapılmamış aydınlatmadır.

Son bir pratik: metnin güncel tarihli bir kopyasını sistemde de sakla. Denetim ya da uyuşmazlık günü "hangi tarihte hangi metin kullanılıyordu" sorusu gelir; tarihli arşiv o soruyu tek tıkta cevaplar.

Ofis İçi Veri Politikası: Tek Sayfalık Kural Seti

Kurumsal görünmesi için değil, kaza gününde herkesin ne yapacağını bilmesi için: tek sayfalık bir veri politikası yaz ve imzalat. Yedi madde yeter.

Uzun yönetmelik taklidi metinlerden kaçın; kimse okumaz, kimse uygulamaz. Tek sayfa, yedi kısa madde, herkesin imzası: işleyen format bu.

Bir: müşteri verisi yalnızca ofis sistemine girilir; kişisel rehber ve defter yasak. İki: her kullanıcının şifresi kendine aittir, paylaşılmaz. Üç: müşteri listesi hiçbir koşulda dışa aktarılıp kişisel cihaza kopyalanmaz.

Dört: ayrılan personelin erişimi son iş günü mesai bitiminde kapatılır. Beş: kimlik ve tapu kopyaları kilitli dolapta ya da yetkili klasörde durur. Altı: veri ihlali şüphesi aynı gün ofis sahibine bildirilir.

Yedi: bu sayfa yılda bir gözden geçirilir ve her yeni çalışana ilk gün imzalatılır. Yedi maddelik bu sayfa, uyuşmazlık gününde "tedbirimizi almıştık" cümlesinin yazılı kanıtıdır.

Müşteri "Verimi Silin" Derse: İlgili Kişi Hakları

Madalyonun bir de müşteri yüzü var. KVKK, verisi işlenen herkese somut haklar tanıyor ve bu haklar emlak ofisine soru olarak dönüyor.

Müşteri, verisinin işlenip işlenmediğini öğrenmeyi, yanlışsa düzeltilmesini, gereği kalmadıysa silinmesini isteyebilir. Başvuruya cevap süresi en geç 30 gün; sessiz kalmak, başvuruyu Kurula taşıma hakkı doğurur.

Dağınık düzende bu basit talep bile krize döner. "Ahmet Bey'in verisini sil" dendiğinde; üç danışmanın rehberi, iki WhatsApp geçmişi ve dört Excel kopyası taranacak. Hangisinde ne kaldığını kimse bilemez, "sildik" cümlesi hiçbir zaman kanıtlanamaz.

Sistemli düzende aynı talep beş dakikalık işlem: kayıt bulunur, düzeltilir ya da anonimleştirilir, işlem tarihiyle loglanır. Talep yönetiminin kendisi bile tek başına CRM gerekçesidir.

Bir ayrıntı: silme talebi, yasal saklama yükümlülüğünü ezmez. Sözleşmesi süren ya da beş yıllık saklama kapsamındaki kayıtlar silinmez; müşteriye bu çerçeve yazılı ve sakin bir dille açıklanır.

Excel'den Güvenli Geçiş: Eski Dosyaların Tasfiyesi

Sistemli düzene geçen ofislerin çoğu bir işi yarım bırakıyor: eski dosyaların tasfiyesi. Veri CRM'e taşındı ama Excel kopyaları beş bilgisayarda, iki USB bellekte ve üç e-posta ekinde yaşamaya devam ediyor.

Bu artıklar, yeni düzenin arka kapısıdır. Sızıntı günü kimse "hangi kopyadan" sorusuna cevap veremez; erişim kaydı tutan sistemin bütün faydası, kayıtsız kopyalar yüzünden erir.

Tasfiye sırası basit. Göç doğrulandıktan sonra tek bir arşiv kopyası şifreli olarak saklanır; kalan bütün kopyalar silinir, e-posta ekleri dahil. Danışmanlardan da "kişisel cihazımda kopya kalmadı" onayı yazılı alınır.

Göçün kendisini nasıl kayıpsız yapacağın ayrı bir konu ve Excel'den CRM'e geçiş yazısında adım adım anlatıldı. Buradaki nokta şu: taşınma bitince eski evin anahtarları da toplanır.

Güvenlik Bir Modül Değil, Bir Alışkanlıktır

Sistemi kurmak işin yarısı; öbür yarısı ofis içi alışkanlıklar. Üç basit kuralla tamamlanır.

Müşteri verisi sadece sisteme girilir; kişisel rehbere, deftere, dağınık dosyalara değil. Tek istisna bile düzeni deler, çünkü istisna alışkanlığa dönüşür.

Şifreler kişiseldir ve ayrılıkta hesap aynı gün kapatılır. Ortak şifre kullanan ofis, erişim kaydını daha ilk gün anlamsızlaştırır.

İşe alım tarafında da küçük bir protokol işleri kolaylaştırır. Yeni danışmana ilk gün kendi hesabı açılır, veri politikası imzalatılır, yetkisi göreviyle sınırlı başlar. Ayrılıkta ise tersine aynı liste işler: hesap kapatılır, devredilen müşteriler sistem üzerinden yeni danışmana atanır, teslim tutanağı dosyalanır.

Bu giriş-çıkış disiplini, danışman devri yazısında anlatılan kurumsal hafızanın güvenlik ayağıdır. İnsanlar değişir; arşiv ve düzen ofiste kalır.

Sözleşme ve belgelerde saklama süresi

Bir de "eski verileri ne yapacağım" sorusu var. Taşınmaz ticaretinde sözleşmelerin en az beş yıl saklanması zorunlu ve elektronik arşiv mevzuatta açıkça meşru.

Yani sistemdeki eski kayıtları silmek değil, arşivlemek gerekiyor. İyi bir CRM bu ayrımı bilir: kapanan iş görünümden kalkar ama arşivde aranabilir durur.

Islak imzalı belgelerde ise taranmış kopya, aslın yerini her durumda tutmaz; "aslı nerede" bilgisini de kayda ekle. Sözleşme sürecini dijitale taşımayı düşünüyorsan e-imza kurulum rehberi bu yolun 2026 hâlini anlatıyor.

Ve yılda bir kez, yarım saatlik bir tatbikat: "Bu telefon şimdi çalınsa ne kaybederiz?" Cevap "hiçbir şey, hepsi sistemde" olana kadar düzeni sıkılaştır.

Aydınlatma metnini de unutma. Müşteri formunun altına eklenecek birkaç satır, verinin hangi amaçla işlendiğini söyler ve seni en sık kesilen cezanın kapsamından çıkarır. Hazır şablonla başla, kendi akışına göre düzelt; mükemmel metin beklerken metinsiz kalma.

Bu kuralların hiçbiri bütçe istemiyor. Gereken tek şey, ofiste "veri de para gibidir" cümlesinin ciddiye alınması. Kasayı açık bırakmayan ofis, arşivi de açık bırakmamalı; ikisi arasındaki tek fark, arşiv kaybının geç fark edilmesi.

EmlakCRMx bu düzenin altyapısını hazır veriyor: danışman bazlı yetkilendirme, işlem kayıtları, otomatik yedekleme ve ayrılıkta tek tıkla erişim kapatma. Yukarıdaki altı soruyu EmlakCRMx'e de sor; net cevap, güvenin ilk taşıdır.

Müşteri verisiyle günlük çalışmanın güvenli akışı, kayıttan takibe kadar emlakçı müşteri takip rehberinde bütün hâliyle anlatılıyor. Güvenlik en kolay, o akışın içine gömülü bir alışkanlık olarak yerleşir.

Güvenlik yatırımının bir de görünmeyen getirisi var: müşteri güveni. "Verileriniz şifreli sistemde tutuluyor, dilediğinizde silinmesini isteyebilirsiniz" cümlesini kurabilen danışman, tapu masasına daha sağlam oturur. Sektör basınında EmlakCRMx'in bu yaklaşımının nasıl anlatıldığını Ekonomi Küresel'deki haberde görebilirsin.

Adana'daki ofis bugün aynı acıyı ikinci kez yaşayamaz; çünkü artık arşiv, cepte değil sistemde. Üç yıllık emeğin anahtarı da artık giden çantalarda değil, ofisin kendi kasasında duruyor.

Sık Sorulan Sorular

Küçük emlak ofisi de KVKK'ya tabi mi?

Evet. Aydınlatma yükümlülüğü, açık rıza ve veri güvenliği tedbirleri, çalışan sayısına bakılmaksızın veri işleyen herkesi kapsar. Ölçeğe göre değişen şey Sicile kayıt gibi bazı bildirim yükümlülüklerinin kapsamıdır; muafiyet, sorumsuzluk anlamına gelmez. 2026'da tek ihlalin alt sınırı 85 bin TL'yi aştığı için "küçüğüm, görünmem" stratejisi artık bir strateji değil, açık risktir. Üstelik şikâyet çoğu zaman Kuruldan değil, küskün bir müşteriden ya da ayrılan bir çalışandan gelir; küçük ofis o mesafeye herkesten yakındır.

Müşteri listesini Excel'de tutmak KVKK ihlali mi?

Tek başına ihlal değil; ama zayıf halka. Kanun veriyi nerede tuttuğuna değil, nasıl koruduğuna bakar. Şifresiz, yedeksiz, kimin kopyaladığı belli olmayan bir Excel dosyası "uygun güvenlik tedbiri" tarifinin uzağında kalır. Dosya kaybolur ya da yanlış ele geçerse, tedbirsizliğin faturası ofise kesilir. Excel kayıt tutar; koruma, kayıt ve yetki katmanı sunmaz. Excel'de kalmaya mecbursan en azından üç önlemi al: dosyayı parolala, tek bilgisayarda tut, haftalık yedeğini şifreli bir alana koy. Bu üçlü, asgari özenin alt çizgisidir.

Verilerin yurt dışı sunucuda tutulması sorun mu?

Otomatik olarak yasak değil; ama ek şartlara bağlı. Kişisel verinin yurt dışına aktarımı KVKK'nın ayrı düzenlediği bir alan ve ilgili kişinin bilgilendirilmesinden aktarım güvencelerine kadar ek yük getiriyor. Pratik öneri şu: satıcıya verinin nerede tutulduğunu yazılı sor, cevaba göre aydınlatma metnini güncelle. "Bilmiyorum" cevabı veren satıcı, o yükü senin sırtına bırakıyor demektir. Aynı soruyu yedeklerin nerede durduğu için de tekrarla; ana sunucu ile yedek sunucunun farklı ülkelerde olması nadir bir durum değildir.