Kontrol listeleri

Maddeler · 15

• Kişisel veri işlenen birimler listelendi mi?
• Her birim için hangi veri kategorilerinin işlendiği yazıldı mı?
• Her işleme faaliyeti için amaç yazıldı mı?
• Her amaç için hukuki sebep belirlendi mi?
• Özel nitelikli veri işlenip işlenmediği tespit edildi mi?
• Kurum dışına yapılan aktarımlar listelendi mi?
• Veri işleyenlerle sözleşmelerde veri işleme hükmü var mı?
• Her veri kategorisi için saklama süresi ve dayanağı yazıldı mı?
• Aydınlatma metni hazırlandı ve yayımlandı mı?
• Açık rızaya dayanan işlemeler ayrıştırıldı mı?
• İlgili kişi başvuruları için bir kanal tanımlandı mı?
• VERBİS yükümlülüğü değerlendirildi mi?
• Veri ihlali durumunda ne yapılacağı yazılı mı?
• Erişim yetkileri kayıt altında mı?
• Çalışanlara bilgilendirme yapıldı mı?

Maddeler · 15

• Fark edilme anı kayda geçirildi mi?
• Müdahale ekibi ve roller devreye alındı mı?
• Yayılma durduruldu mu (hesap kapatma, erişim kaldırma, izolasyon)?
• Kanıt korundu mu; kayıtlara ve disklere dokunulmadı mı?
• Hangi veri kategorilerinin etkilendiği belirlendi mi?
• Kaç ilgili kişinin etkilendiği tespit edildi mi?
• Özel nitelikli veri etkilendi mi?
• Veri kurum dışına çıktı mı?
• Etki değerlendirmesi yazılı olarak yapıldı mı?
• Kuruma bildirim gerekip gerekmediğine karar verildi mi?
• İlgili kişilere bildirim gerekip gerekmediğine karar verildi mi?
• Bildirim metinleri hazırlandı mı?
• Kök neden belirlendi mi?
• Düzeltici eylem tanımlandı ve sahibi atandı mı?
• Değerlendirme toplantısı yapıldı ve prosedür güncellendi mi?

Maddeler · 11

• Hangi kişisel verilere erişecek?
• Veriyi nerede barındırıyor (ülke ve altyapı)?
• Alt yüklenici kullanıyor mu, kullanıyorsa kimler?
• Veriyi ne kadar süre saklıyor, sözleşme bitiminde ne oluyor?
• Veri işleyen sıfatıyla sözleşme imzalanıyor mu?
• Erişim yetkilerini nasıl yönetiyor, kayıt tutuyor mu?
• Aktarım ve saklamada şifreleme uyguluyor mu?
• Bir ihlal durumunda bize ne kadar sürede haber veriyor?
• Sahip olduğu güvenlik sertifikaları var mı, kapsamı ne?
• Denetim ya da soru sorma hakkımız sözleşmede var mı?
• Hizmet sonlandığında verinin iadesi ve imhası nasıl yapılıyor?

Maddeler · 12

• Modele hangi veri gidecek, hangisi gitmeyecek; bu yazılı mı?
• Bu kısıt teknik olarak uygulanıyor mu, yoksa yalnız uyarı mı?
• Sağlayıcı veriyi ne kadar saklıyor, eğitimde kullanıyor mu?
• Bu şartlar sözleşmede yazılı mı?
• Çıktı karar mı yoksa öneri mi; sonuç doğuran adımda insan onayı var mı?
• Onay kaydı tutuluyor mu?
• Çağrılar kayda düşüyor mu (girdi özeti, model, çıktı, zaman)?
• Kayıtta gereksiz kişisel veri birikiyor mu?
• Modelin yanıt vermeyeceği konular tanımlı mı?
• Kullanıcıya yapay zeka kullanıldığı bildiriliyor mu?
• Ölçülebilir bir fayda tanımlandı mı (süre, hata, kapasite)?
• Bu kullanım YZ envanterine işlendi mi?