Çağrı Ayrıntı Kaydı (CDR) Nedir? Çok Lokasyonlu Şirketlerde KVKK Sorumluluğu

Şirketinizin farklı şehirlerdeki ofisleri arasında her gün onlarca, belki yüzlerce telefon görüşmesi gerçekleşiyor. Ses kayıtlarını dikkatli yönettiğinizi varsayalım; peki görüşmenin kendisi değil, hakkındaki veriler ne olacak? Kimin kimi ne zaman aradığı, görüşmenin kaç dakika sürdüğü, hangi şubenin hangi numaradan bağlandığı — bunların tümü Çağrı Ayrıntı Kaydı'nda, yani CDR'de (Call Detail Record) toplanır. Ve bu veriler, 6698 sayılı KVKK kapsamında kişisel veri sayılır.

CDR Nedir ve Neleri Kapsar?

CDR, bir telefon sisteminin her görüşme için otomatik olarak oluşturduğu meta veri kaydıdır. Sesin kendisini değil, görüşmeye ilişkin teknik ve zaman bilgilerini içerir. Tipik bir CDR satırında şunlar yer alır:

• Arayan numara (kaynak)
• Aranan numara (hedef)
• Görüşme başlangıç ve bitiş zamanı
• Süre (saniye cinsinden)
• Görüşmeyi gerçekleştiren dahili veya şube bilgisi
• Görüşmenin sonucu: yanıtlandı, yanıtsız, meşgul vb.

Teknik düzeyde CDR'ler, VoIP sistemlerde SIP protokolü üzerinden üretilir. Asterisk gibi açık kaynaklı PBX çözümleri ve kurumsal bulut santraller bu kayıtları otomatik olarak bir veritabanında tutar. Görünürde masum satırlar gibi dursa da bu veriler oldukça hassas olabilir: müşteri numaraları, arama sıklığı kalıpları veya çalışanların günlük iletişim davranışları bu kayıtlardan çıkarılabilir.

CDR Neden KVKK Kapsamında Değerlendirilir?

KVKK, belirli bir kişiyle ilişkilendirilebilecek her türlü veriyi "kişisel veri" olarak tanımlar. CDR'deki bir telefon numarası, gerçek bir kişiye bağlanabildiğinde bu niteliği kazanır. Dolayısıyla bu kayıtları işleyen şirket, veri sorumlusu sıfatıyla hareket eder ve kanunun getirdiği saklama, silme ile güvenlik yükümlülüklerine uymak zorundadır. BTK düzenlemeleri de elektronik haberleşme verilerinin işlenmesine ilişkin ek gereklilikler içerir.

Çok lokasyonlu şirketler açısından bu durum daha karmaşık bir hal alır. Her şubede ayrı bir santral altyapısı varsa CDR'ler farklı sunuculara dağılmış olabilir. Merkezi bir politika yoksa kimi şubede kayıtlar yıllarca saklanırken kimi şubede aylar içinde silinebilir. Bu tutarsızlık, olası bir denetimde ciddi risk oluşturur.

Çok Şubeli Yapılarda Sık Karşılaşılan CDR Sorunları

Birden fazla lokasyonu olan işletmelerin bu konuda karşılaştığı başlıca sorunlar şunlardır:

1. Dağınık saklama: Her şubede ayrı kayıt alınıyor; ancak merkezi bir envanter yok. Hangi verinin nerede tutulduğunu kimse bilmiyor.
2. Tutarsız saklama süreleri: KVKK, kişisel verilerin amacı ortadan kalktığında silinmesini zorunlu kılar. Farklı şubelerde bu kural farklı yorumlanıyor.
3. Erişim kontrolü eksikliği: CDR'lere kimin erişebildiği belirsiz; yetkisiz bir sistem yöneticisi bu verileri kolayca görüntüleyebiliyor.
4. Şifrelenmemiş yedekler: Yedekler şifrelenmeden alınıyor ve farklı lokasyonlardaki sunuculara kopyalanıyor.

KVKK Uyumlu CDR Yönetimi İçin Pratik Adımlar

Bu riskleri azaltmak için izlenebilecek adımlar hem teknik hem organizasyonel bir yaklaşım gerektirir:

• Merkezi kayıt: Tüm şubelerden gelen CDR'lerin tek bir güvenli konuma — tercihen şifreli bulut depolamaya — aktarılması. Böylece dağınık veri sorunu ortadan kalkar.
• Saklama süresi politikası: Hangi kaydın ne kadar süre tutulacağını yazılı olarak belirleyin. Yasal zorunluluk olmayan veriler için belirlenen süre sonunda otomatik silme devreye girmelidir.
• Rol tabanlı erişim: CDR raporlarına yalnızca yetkili kişilerin — örneğin IT yöneticisi veya uyumluluk sorumlusu — erişebildiğinden emin olun.
• Şifreleme: İletimde ve depolamada TLS/SRTP kullanılmalıdır. Grandstream gibi kurumsal IP telefon ekipmanları bu protokolleri varsayılan olarak destekler.
• VERBİS kaydı: CDR verilerini işliyorsanız ve kanundaki eşikleri aşıyorsanız, bu işleme faaliyetini Veri Sorumluları Sicil Bilgi Sistemi envanterinize eklemeyi unutmayın.

Bulut Santral Bu Süreci Nasıl Kolaylaştırır?

Fiziksel sunucularla yönetilen geleneksel PBX altyapılarında CDR yönetimi büyük ölçüde manuel bir iş yüküdür. Bulut santral modelinde ise CDR'ler platform tarafından merkezi olarak üretilir, yönetim panelinden tarih, şube, kullanıcı ve çağrı sonucuna göre filtrelenebilir; saklama politikaları sistem düzeyinde uygulanabilir hale gelir.

Kırmızı Santral gibi yerli bulut santral çözümleri bu raporlamayı arayüz üzerinden sunar. Önemli olan nokta şudur: hangi verinin var olduğunu bilmeden onu yönetmek mümkün değildir. Çok lokasyonlu yapılarda tüm şubelerin CDR'leri aynı platform üzerinde toplandığı için tutarsızlık riski de minimize edilir. İstanbul şubesi ile Ankara şubesi, aynı saklama politikasına otomatik olarak tabi olur.

CDR ile Ses Kaydını Karıştırmayın

CDR ve ses kaydı (çağrı kaydı) sıkça birbirine karıştırılır. Ses kaydı görüşmenin sesini içerirken CDR yalnızca teknik meta veridir. Her ikisi de KVKK kapsamında değerlendirilir; ancak ses kaydı çok daha hassas sayılır ve aydınlatma yükümlülüğü bakımından ek gereksinimler doğurur. CDR görece "hafif" bir veri gibi görünse de ihmal edildiğinde birikerek ciddi bir uyumluluk riskine dönüşebilir.

Sonuç olarak, telefon sisteminizdeki her görüşme bir iz bırakır. Bu izleri kontrollü biçimde yönetmek, çok lokasyonlu şirketlerin hem yasal uyumluluk hem de kurumsal güvenilirlik açısından görmezden gelemeyeceği bir sorumluluktur. Şubeler arası çağrı trafiğinizin nasıl kayıt altına alındığını merak ediyorsanız, mevcut santral altyapınızın CDR yönetim yeteneklerini gözden geçirmek iyi bir başlangıç noktasıdır.