Telefon: 0 (552) 380 25 25 | Hafta içi 10:00–18:00 · Teknik destek 7/24
KVKK uyum danışmanlığı, kişisel veri işleyen kurumların Kişisel Verilerin Korunması Kanunu'na hem belgede hem sistemde uymasını sağlar. Veri envanterini çıkarıyor, gerekiyorsa VERBİS kaydını ve saklama-imha politikasını hazırlıyor; erişim kaydı, yetki matrisi ve otomatik imha gibi teknik tedbirleri sistemlerinize uyguluyor, ihlal müdahale planını yazıyoruz.
Birçok kurumda KVKK çalışması, web sitesine bir aydınlatma metni eklenmesi ve birkaç formun imzalatılmasıyla bitmiş sayılıyor. Oysa denetimde sorulan; kişisel verinin hangi sistemde tutulduğu, ne kadar saklandığı, kimin eriştiği ve bu erişimin kayıt altında olup olmadığıdır.
Bu hizmet, müşteri, çalışan, hasta, öğrenci ya da ziyaretçi verisi işleyen kurumlar için. Hukuki metinlerin yanında teknik tarafı da kuruyoruz: veri envanterini çıkarıyor, saklama sürelerini yazılıma işletiyor, erişim kayıtlarını devreye alıyor ve ihlal anında ne yapılacağını adım adım yazıyoruz.
Hangi sistemde hangi kişisel verinin, hangi amaçla, hangi hukuki sebeple ve ne kadar süreyle tutulduğu tek bir envanterde toplanır.
Kayıt yükümlülüğünüz varsa VERBİS bildirimi hazırlanır. Saklama-imha politikası, aydınlatma metinleri ve açık rıza formları kurumun gerçek süreçlerine göre yazılır.
Rol bazlı yetki matrisi, şifreleme, erişim kaydı ve yedekleme düzeni uygulanır. Veritabanı ve uygulama seviyesinde erişim kısıtları devreye alınır.
Veri sahibi "hakkımda ne tutuyorsunuz?" diye sorduğunda yanıt verebilmeniz için süreç ve altyapı kurulur; bir kişinin verisi tüm sistemlerde bulunabilir hâle gelir.
Veri türüne göre saklama süreleri sistemlere tanımlanır. Süresi dolan kayıtlar elle hatırlanmayı beklemeden silme veya anonimleştirme akışına girer.
Olağan dışı erişimler anomali tespiti ile izlenir. Kurula 72 saat içinde bildirim yükümlülüğü için kim, neyi, hangi sırayla yapacak — önceden yazılır.
Sistemler, süreçler ve mevcut belgeler incelenir; eksikler risk ve önem sırasına göre listelenir.
Departman görüşmeleriyle veri işleme faaliyetleri kayda alınır, veri akış şemaları çizilir.
Politikalar ve metinler hazırlanırken teknik tedbirler aynı anda sistemlere uygulanır ve test edilir.
Çalışanlara uygulamalı eğitim verilir; dönemsel gözden geçirme takvimi ve sorumlular belirlenir.
Politikada "veriler 2 yıl saklanır" yazıp veritabanında 9 yıllık kayıt tutmak uyum değil, yazılı hâle getirilmiş bir uyumsuzluktur. Bu yüzden metni sistemin gerçeğine göre yazıyor, sistemi de metne uyacak şekilde düzenliyoruz. Aynı yaklaşımı kendi ürünümüz SmartPass'te de uyguluyoruz: kart numaraları düz metin saklanmaz, saklama süresi dolan kayıtlar anonimleştirilir.
Belgeler için de aynısı geçerli: SmartFiles kurumsal dosya yönetiminde klasöre saklama süresi atanır ve süresi dolan belgeler sorumluya listelenir; erişim kişi ya da departman bazında tek yetki matrisinden verilir, metni okunabilen belgelerde TC kimlik no, IBAN ve kart no gibi kişisel veriler taranıp işaretlenir.
Kişisel verinin hangi sistemde, hangi amaçla ve ne kadar süreyle tutulduğunu gösteren bir veri envanteri çıkarılmalı; saklama-imha politikası, aydınlatma metinleri ve gerekiyorsa VERBİS kaydı hazırlanmalıdır. Bunların yanında yetki matrisi, şifreleme, erişim kaydı ve otomatik imha gibi teknik tedbirler sistemlere uygulanmalı, veri ihlali için müdahale planı yazılmalıdır.
Hayır. Denetimde sorulan; kişisel verinin hangi sistemde tutulduğu, ne kadar saklandığı, kimin eriştiği ve erişimin kayıt altında olup olmadığıdır. Politikada iki yıl yazıp veritabanında dokuz yıllık kayıt tutmak uyum değil, yazılı hâle getirilmiş bir uyumsuzluktur. Bu yüzden belgeler sistemin gerçeğine, sistem de belgelere göre düzenlenir.
Evet. Kayıt yükümlülüğünüz varsa VERBİS bildirimi hazırlanır. Saklama-imha politikası, aydınlatma metinleri ve açık rıza formları da kurumun gerçek süreçlerine göre yazılır. Bu belgeler departman görüşmeleriyle çıkarılan veri envanterine ve veri akış şemalarına dayanır; böylece metinde yazan saklama süresi ve işleme amacı, sistemlerde gerçekte olanla örtüşür.
Rol bazlı yetki matrisi, şifreleme, erişim kaydı ve yedekleme düzeni uygulanır; veritabanı ve uygulama seviyesinde erişim kısıtları devreye alınır. Veri türüne göre saklama süreleri sistemlere tanımlanır ve süresi dolan kayıtlar silme veya anonimleştirme akışına girer. Olağan dışı erişimler anomali tespitiyle izlenebilir.
İhlalin fark edilmesinden Kurul'a 72 saat içinde bildirim yapılmasına kadar kimin neyi hangi sırayla yapacağı önceden yazılı olmalıdır. KVKK uyum danışmanlığında bu müdahale planı hazırlanır ve olağan dışı erişimleri erken görmek için izleme kurulur. Çalışanlara uygulamalı eğitim verilir, dönemsel gözden geçirme takvimi ve sorumlular belirlenir.
Sorunuz burada yok mu? Bize Sorun