KVKK uyumu — web sitenizde ve yazılımlarınızda eksik kalmasın

KVKK uyumu neden teknik bir iş de?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veri işleyen her kurumdan verinin hukuka uygun toplanmasını, amacına uygun kullanılmasını, güvenle saklanmasını ve süresi dolunca imha edilmesini ister. Bu yükümlülüklerin önemli bir kısmı doğrudan dijital sistemlerde karşılanır: web sitenizdeki formlar, çerezler, e-ticaret üyelikleri, CRM kayıtları, bayi portalı kullanıcıları, çalışan uygulamaları.

Pek çok firmada KVKK, bir hukuk bürosunun hazırladığı metinlerin siteye yapıştırılmasıyla "tamamlanmış" sayılır. Oysa metin "çerezleri onayınız olmadan kullanmıyoruz" derken site ilk açılışta reklam çerezlerini yüklüyorsa, ya da "verileriniz iki yıl sonra silinir" yazarken veritabanında on yıllık kayıt duruyorsa, metin ile sistem çelişir. Bizim işimiz bu iki tarafı birbirine uydurmaktır.

Globya'nın yaptığı web sitesi, e-ticaret, portal ve yazılım işlerinde KVKK gereklilikleri eksik bırakılmaz ve bunun için ayrıca ücret alınmaz.

Aydınlatma metni ve açık rıza

Kişisel veri toplanan her noktada kişiye kimin, hangi veriyi, hangi amaçla, hangi hukuki sebeple işlediği ve haklarının neler olduğu anlatılmalıdır. Buna aydınlatma yükümlülüğü denir. Açık rıza ise ayrı bir şeydir ve yalnız kanunda sayılan diğer hukuki sebepler yoksa gerekir; örneğin pazarlama iletisi göndermek ya da veriyi yurt dışındaki bir hizmete aktarmak gibi.

Sık yapılan hata, aydınlatma ile açık rızayı tek bir onay kutusunda birleştirmek ya da formu göndermeyi rızaya bağlamaktır. Formlarınızı bu ayrıma göre kuruyor, rızanın ne zaman ve hangi metinle verildiğini kayıt altına alıyoruz. Ayrıntılar aydınlatma metni ve açık rıza sayfasında.

Çerez yönetimi

Zorunlu çerezler dışındaki analitik, reklam ve kişiselleştirme çerezleri için kullanıcının önceden onayı gerekir. KVKK Kurumu'nun çerez uygulamalarına ilişkin rehberi de bu yaklaşımı benimser. Doğru kurulmuş bir çerez yönetiminde onay verilmeden bu çerezler yüklenmez, "kabul et" ve "reddet" seçenekleri eşit kolaylıkta sunulur, kullanıcı tercihini sonradan değiştirebilir.

Google Analytics, Meta pikseli ve reklam etiketlerini onay mekanizmasına bağlıyoruz. Nasıl kurulduğunu çerez yönetimi sayfasında anlattık.

Veri envanteri, saklama ve imha

Hangi sistemde hangi kişisel verinin durduğunu bilmeden onu korumak da silmek de mümkün değildir. Veri envanteri; her veri kategorisini, işleme amacını, saklama süresini, erişen kişileri ve aktarıldığı yerleri listeler. Saklama ve imha politikası ise bu sürelerin nasıl uygulanacağını belirler.

Biz bu işin yazılım tarafını yapıyoruz: sistemlerinizdeki kişisel veri alanlarını çıkarıyor, süresi dolan kayıtların otomatik silinmesi ya da anonimleştirilmesi için görevler kuruyoruz. Detaylar veri envanteri ve saklama-imha sayfasında.

Erişim yetkileri, kayıtlar ve başvurular

Kanun, veri güvenliği için idari ve teknik tedbir alınmasını ister. Yazılım tarafında bunun karşılığı; rol bazlı yetkilendirme, güçlü parola ve iki adımlı doğrulama, kimin hangi kaydı ne zaman görüp değiştirdiğini tutan erişim kayıtları (log), şifreli bağlantı ve düzenli yedektir.

İlgili kişiler de verilerine ilişkin bilgi isteme, düzeltme ve silme talebinde bulunabilir; kanun bu başvurulara en geç otuz gün içinde yanıt verilmesini öngörür. Başvuruların kayda alındığı ve takip edildiği basit bir süreç kuruyoruz. Ayrıntılar erişim, loglama ve başvurular sayfasında.

Hukuki danışmanlıkla ilişkisi

Açık olalım: Globya bir hukuk bürosu değildir ve bu hizmet hukuki danışmanlığın yerine geçmez. Hangi verinin hangi hukuki sebeple işleneceği, VERBİS kayıt yükümlülüğünüz, çalışan ve tedarikçi sözleşmeleri gibi konularda son sözü hukukçunuz söyler.

Bizim rolümüz teknik uygulayıcılıktır. Hukukçunuz varsa onunla birlikte çalışıyor, onun belirlediği kuralları sistemlere doğru biçimde yansıtıyoruz. Yoksa ihtiyacı netleştiriyor, hukuki değerlendirme gereken noktaları açıkça işaretliyoruz. Genel yaklaşımımızı KVKK yaklaşımımız sayfasında da anlattık.

Kimler için özellikle önemli?

Her firma kişisel veri işler, ama bazı sektörlerde veri daha hassastır. Sağlık verisi, özel nitelikli kişisel veri sayılır ve daha sıkı koşullara tabidir; sağlık ve klinikler alanındaki projelerde bu nedenle ek özen gösteriyoruz. E-ticaret siteleri, üyelik sistemleri, bayi portalları ve çalışan konumu izleyen mobil uygulamalar da yoğun veri işler. Yeni bir e-ticaret ya da kurumsal web sitesi projesinde bu gereklilikler baştan tasarıma girer.

Mevcut sisteminizin durumunu görmek isterseniz kısa bir ön inceleme yapabiliriz. Globya'nın dışında yaptırılmış sistemler için yapılacak uyum çalışmasının kapsamı ve fiyatı, keşif görüşmesinden sonra yazılı teklifle belirlenir. 0850 432 55 13'ü arayabilir ya da iletişim sayfasından yazabilirsiniz.

Sık sorulan sorular