# Veri envanteri ve saklama-imha — neyi, nerede, ne kadar tutuyorsunuz?

Kaynak: https://www.globya.com.tr/hizmetler/kvkk-uyumu/veri-envanteri-ve-saklama-imha

> Kişisel veriyi korumanın ilk adımı nerede durduğunu bilmektir. Veri envanteri bu haritayı çıkarır; saklama ve imha kuralları ise verinin gereğinden uzun tutulmamasını sağlar.

## Veri envanteri nedir?

Veri envanteri, firmanızın işlediği kişisel verilerin listesidir. Her satırda şu sorulara yanıt verilir: hangi veri kategorisi, kimden toplanıyor, hangi amaçla, hangi hukuki sebeple, nerede saklanıyor, kimler erişiyor, kime aktarılıyor ve ne kadar süre tutuluyor.

Envanter aynı zamanda VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) bildiriminin de temelidir. Kayıt yükümlülüğünüz olup olmadığı çalışan sayısı, bilanço büyüklüğü ve faaliyet alanına göre değişir; bu değerlendirmeyi hukukçunuzla yapmanızı öneriyoruz.

## Yazılım tarafında envanter

Envanter çoğu zaman bir tabloda hazırlanır ama gerçek veri sistemlerin içindedir. Biz şu kaynakları tarayıp envantere teknik karşılığını ekliyoruz:

- Web sitesi form kayıtları ve e-posta bildirimleri
- E-ticaret üye, sipariş ve adres tabloları
- CRM ve teklif kayıtları
- Bayi portalı kullanıcıları
- Sunucu ve uygulama erişim kayıtları (log)
- Yedekler
- Üçüncü taraf hizmetler (e-posta pazarlama aracı, kargo entegrasyonu, ödeme altyapısı)

Örnek: bir e-ticaret sitesinde iletişim formu mesajlarının hem veritabanında hem de yıllardır silinmeyen bir e-posta kutusunda durduğu, eski bir kampanya için alınmış bir Excel dosyasının sunucuda unutulduğu sık rastlanan durumlardır.

## Saklama süreleri

Kişisel veri, işlendiği amaç için gerekli olan ya da ilgili mevzuatta öngörülen süre kadar tutulur. Örneğin fatura bilgileri vergi mevzuatındaki saklama süresine tabiyken, cevaplanmış bir iletişim formu mesajının yıllarca tutulması için genellikle bir gerekçe yoktur. Süreleri hukukçunuzla birlikte belirliyor, biz de bunları sisteme işliyoruz.

| Veri | Örnek süre belirleme mantığı |
|---|---|
| İletişim formu | Talep sonuçlandıktan sonra makul bir süre |
| Sipariş ve fatura | Ticari ve vergi mevzuatındaki süre |
| Pazarlama izni | Rıza geri alınana kadar |
| Erişim kayıtları | Güvenlik ve mevzuat ihtiyacına göre |
| Pasif üyelik | Belirli bir hareketsizlik süresinden sonra |

## İmha — silme, yok etme, anonimleştirme

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yönetmelik, saklama ve imha politikası hazırlanmasını ve periyodik imha yapılmasını öngörür; yönetmelikteki azami periyodik imha aralığı altı aydır. Yazılım tarafında bunu şöyle uyguluyoruz:

- Süresi dolan kayıtları bulan zamanlanmış görevler
- İstatistik için gerekli verilerin anonimleştirilerek saklanması
- Silinen kayıtların yedeklerde de süre sonunda ortadan kalkması
- Her imha işleminin tarih ve kapsamıyla kayda geçmesi

## Kontrol listesi

- Envanter gerçek sistemlerle karşılaştırıldı mı?
- Her veri kategorisi için saklama süresi belirlendi mi?
- Süresi dolan veriyi silen otomatik bir işlem var mı?
- Yedekler imha politikasına dahil mi?
- İmha işlemleri kayıt altında mı?

Bu çalışma [KVKK uyumu hizmetimizin](https://www.globya.com.tr/hizmetler/kvkk-uyumu) parçasıdır. Dağınık veriyi toparlamak çoğu zaman bir [entegrasyon](https://www.globya.com.tr/hizmetler/entegrasyon) ya da [özel yazılım](https://www.globya.com.tr/hizmetler/ozel-yazilim) işiyle birlikte yürür.

## Sık sorulan sorular

**Soru: Silmek yerine arşivlesek olmaz mı?**
Arşivlenen veri hâlâ kişisel veridir ve saklama süresi kurallarına tabidir. Uzun süre tutmak gerekiyorsa anonimleştirme doğru yoldur.

**Soru: Veri envanterini siz mi hazırlıyorsunuz?**
Teknik kısmını, yani hangi verinin hangi sistemde durduğunu biz çıkarıyoruz. Amaç ve hukuki sebep sütunları hukukçunuzla birlikte tamamlanır.

Sorularınız için 0850 432 55 13 ya da [iletişim sayfası](https://www.globya.com.tr/iletisim).