Question 1

KVKK tam olarak neyi düzenliyor?

Accepted Answer

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verinin hangi şartlarda işlenebileceğini, nasıl korunacağını ve kişinin kendi verisi üzerindeki haklarını düzenliyor. Kanun sektör ayrımı yapmıyor; kişisel veri işleyen her gerçek ve tüzel kişiyi kapsıyor. Değişen tek şey yükümlülüğün ağırlığı: işlenen veri özel nitelikliyse beklenti de yükseliyor.

Question 2

Hangi kurumlar yükümlü sayılıyor?

Accepted Answer

Kişisel veri işleyen herkes. Müşteri verisi tutmayan bir kurum düşünseniz bile çalışan verisi kapsama giriyor, dolayısıyla pratikte yükümlülük dışında kalan kurum yok denecek kadar az. VERBİS kaydı bundan ayrı bir başlık; onun için ölçütler var.

Question 3

Veri sorumlusu ile veri işleyen arasındaki fark ne?

Accepted Answer

Kanunun tanımına göre veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan taraf. Veri işleyen ise onun verdiği yetkiye dayanarak, onun adına veri işleyen taraf. Bulut sağlayıcınız ya da bordro firmanız çoğu zaman veri işleyen konumunda oluyor. Bu sorumluluğu devretmiyor; ilişkinin sözleşmeyle düzenlenmesi gerekiyor.

Question 4

Özel nitelikli kişisel veri ne demek?

Accepted Answer

Kanunun ayrıca saydığı veri türleri: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler, biyometrik ve genetik veriler. Bu verilerin işlenme şartları daha dar, beklenen güvenlik tedbirleri daha ağır.

Question 5

VERBİS'e kim kaydolmak zorunda?

Accepted Answer

Yıllık çalışan sayısı 50'den fazla olan veri sorumluları, ana faaliyeti özel nitelikli veri işlemek olanlar, kamu kurumları ve Türkiye'de yerleşik olmayan veri sorumluları başlıca gruplar. Mali bilanço gibi rakamsal eşikler ve istisna listesi Kurul kararlarıyla güncellendiği için burada tutar yazmıyoruz; güncel değer için kvkk.gov.tr esas alınmalı. Mevzuat sayfamızdaki ön kontrol aracı fikir vermek için var, kesin sonuç vermez.

Question 6

Uyuma nereden başlamak gerekiyor?

Accepted Answer

Veri envanterinden. Hangi birimde hangi veriyi hangi amaçla işlediğinizi bilmeden ne aydınlatma metni doğru yazılıyor ne saklama süresi belirlenebiliyor. Belge setiyle başlayan projeler çoğu zaman ikinci turda baştan yazılıyor.

Question 7

Neden her şey veri envanterine bağlanıyor?

Accepted Answer

Aydınlatma metni envanterdeki amaçlara, saklama politikası envanterdeki veri kategorilerine, başvuru yanıtı envanterdeki kayıt yerlerine dayanıyor. Envanter yoksa bunların hepsi tahminle yazılıyor ve ilk denetimde ya da ilk başvuruda açık veriyor.

Question 8

Bir uyum projesi ne kadar sürer?

Accepted Answer

Kurumun büyüklüğüne, sistem sayısına ve mevcut durumuna göre değişiyor. Süreyi belge yazmak belirlemiyor; envanterin doğru çıkarılması ve kontrollerin gerçekten devreye alınması belirliyor. İlk görüşmede mevcut durumunuza bakıp somut bir takvim çıkarıyoruz.

Question 9

Küçük bir işletmeyiz, yine de yükümlü müyüz?

Accepted Answer

KVKK yükümlülüğü şirket büyüklüğüne değil, kişisel veri işleyip işlemediğinize bağlı. VERBİS kayıt yükümlülüğünde ise çalışan sayısı ve mali bilanço gibi ölçütler devreye giriyor. Durumunuzu birlikte bakabiliriz.

Question 10

Zaten bir danışmanla çalışıyoruz, devralır mısınız?

Accepted Answer

Çalışabiliriz. Devralmadan önce mevcut durumu değerlendiriyoruz: envanter, belge seti ve kontrollerin gerçekte ne kadarının işlediği. Sıfırdan başlamak her zaman gerekmiyor.

Question 11

Aydınlatma ile açık rıza aynı şey mi?

Accepted Answer

Değil. Aydınlatma her hâlde yapılması gereken bir yükümlülük: kişiye kim olduğunuzu, veriyi hangi amaçla işlediğinizi, kime aktardığınızı ve haklarını anlatıyorsunuz. Açık rıza ise işleme şartlarından yalnızca biri. Rıza aldınız diye aydınlatma yapmış olmuyorsunuz; iki metin ayrı ayrı gerekiyor.

Question 12

Her işleme için açık rıza almalı mıyız?

Accepted Answer

Hayır, tersi doğru. Kanun açık rıza dışında da işleme şartları sayıyor: kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi ve meşru menfaat bunlardan bazıları. Bu şartlardan biri varsa rıza aranmıyor. Gereksiz yere rızaya dayanmak riski büyütüyor, çünkü rıza her zaman geri alınabiliyor.

Question 13

Çerezler için onay almak zorunda mıyız?

Accepted Answer

Sitenin çalışması için zorunlu olmayan çerezlerde onay önceden alınmalı ve onayın alındığı ispatlanabilmeli. Pratikte eksik kalan kısım genelde ispat tarafı oluyor: bant gösteriliyor ama kimin neye ne zaman onay verdiği kayda geçmiyor. HEM Cookie tam olarak bu kaydı tutmak için var.

Question 14

Kişi rızasını geri alırsa ne oluyor?

Accepted Answer

Rıza her zaman geri alınabilir. Geri alındığı anda o rızaya dayanan işleme durur; başka bir hukuki sebep yoksa veri silinir, yok edilir ya da anonim hale getirilir. Geri alma kanalının en az rıza verme kanalı kadar kolay olması bekleniyor.

Question 15

Hangi teknik tedbirler bekleniyor?

Accepted Answer

Kanun tek tek saymıyor, uygun güvenlik düzeyini sağlamaya yönelik her türlü teknik ve idari tedbirden söz ediyor. Sahada karşılığı şu oluyor: erişim yetkilerinin rol bazında tanımlanması, kimin neye eriştiğinin kayda geçmesi, yedekleme ve geri dönüş denemesi, aktarımda ve saklamada şifreleme, veri işleyenlerle sözleşme ve çalışan eğitimi. Ölçü, işlenen verinin niteliği: özel nitelikli veride beklenti yükseliyor.

Question 16

Veri ihlali olursa ilk ne yapılmalı?

Accepted Answer

Önce kayıt açılıp fark edilme anı yazılır, sonra yayılma durdurulur ve kapsam belirlenir. Kurula bildirim en kısa sürede yapılır; bu sürenin nasıl uygulandığı Kurul kararlarıyla belirlendiği için güncel hâli kvkk.gov.tr'den doğrulanmalı. Risk taşıyan ihlallerde ilgili kişiler de bilgilendirilir. Bu akışın ihlal anında yazılmaması, önceden hazır olması önemli.

Question 17

Erişim kayıtlarını tutmak zorunlu mu?

Accepted Answer

Kanun doğrudan bir kayıt listesi vermiyor ama kimin hangi veriye ne zaman eriştiğini gösterememek, alınan tedbirleri de ispat edememek anlamına geliyor. Denetimde ve ihlal incelemesinde ilk istenen şeylerden biri bu. Yetki matrisi ve dönemsel yetki gözden geçirme ikisi birlikte yürüyor.

Question 18

Verimizi tutan tedarikçiden biz mi sorumluyuz?

Accepted Answer

Veri sorumlusu sıfatınız tedarikçiye geçmiyor. Tedarikçi veri işleyen konumundaysa aranızdaki sözleşmede veri işleme hükümlerinin bulunması, tedarikçinin aldığı tedbirleri gösterebilmesi ve ihlal durumunda size bildirim yükümlülüğü taşıması gerekiyor. Kaynaklar sayfasındaki tedarikçi değerlendirme listesi bu görüşme için hazırlandı.

Question 19

Kişinin kendi verisi üzerinde hangi hakları var?

Accepted Answer

Kanun şunları sayıyor: verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik ya da yanlış işlenmişse düzeltilmesini isteme, şartları oluştuğunda silinmesini veya yok edilmesini isteme, bu işlemlerin aktarım yapılan üçüncü kişilere bildirilmesini isteme, yalnızca otomatik sistemlerle yapılan analiz sonucu aleyhine bir sonuç çıkmasına itiraz etme ve hukuka aykırı işleme nedeniyle zarara uğrarsa tazminat talep etme.

Question 20

İlgili kişi başvurusuna ne kadar sürede yanıt vermeliyiz?

Accepted Answer

Talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde. Yanıt kural olarak ücretsiz; işlemin ayrıca bir maliyeti varsa Kurulca belirlenen tarifedeki ücret istenebiliyor. Süreyi kaçırmamanın yolu başvuru kanalını önceden tanımlamak ve gelen başvuruyu kayda geçiren bir düzen kurmak.

Question 21

Başvurumuz yanıtsız kalırsa kişi nereye gidiyor?

Accepted Answer

Başvuru reddedilirse, yanıt yetersiz bulunursa ya da süresinde yanıt verilmezse ilgili kişi Kurula şikâyette bulunabiliyor. Bunun için yanıtı öğrendiği tarihten itibaren otuz gün, her hâlde başvuru tarihinden itibaren altmış gün içinde başvurması gerekiyor. Yani başvuruyu yanıtsız bırakmak dosyayı kapatmıyor, Kurula taşıyor.

Question 22

Veriyi ne kadar süre saklayabiliriz?

Accepted Answer

Mevzuatta o veri için öngörülmüş bir süre varsa o geçerli. Yoksa süreyi işleme amacı belirliyor: amaç ortadan kalktığında saklamanın dayanağı da kalkıyor. Bu yüzden saklama süreleri veri kategorisi bazında yazılıyor ve her birinin yanına dayanağı ekleniyor.

Question 23

Süre dolunca veri nasıl imha ediliyor?

Accepted Answer

Üç yol var: silme, yok etme ve anonim hale getirme. Hangisinin uygulanacağı verinin tutulduğu ortama ve amaca göre değişiyor. Önemli olan imhanın elle hatırlanan bir iş olmaktan çıkıp periyodik imha takvimine bağlanması ve yapılan imhanın kayda geçmesi.

Question 24

Neden uyum, yazılım ve veri güvenliğini birlikte veriyorsunuz?

Accepted Answer

Çünkü bu üç iş birbirine bağlı. Uyum raporu, onu işletecek yazılım olmadan rafta kalıyor; yazılım da alınan teknik tedbir kanıtlanmadan denetimde işe yaramıyor. Üçü ayrı tedarikçiye dağıldığında aradaki boşluklar kurumun üzerinde kalıyor.

Question 25

Fiyatlandırma nasıl işliyor?

Accepted Answer

Fiyat kapsamla belirleniyor: kaç sistem, kaç birim, hangi standart, ürün kullanılacak mı. Hazır bir liste fiyatı vermiyoruz çünkü kapsamı görmeden verilen rakam ya sizi ya bizi yanıltıyor. Ön değerlendirme ücretsiz.

Question 26

Ürünlerinizi almadan yalnız danışmanlık alabilir miyiz?

Accepted Answer

Evet. Danışmanlık ve ürün ayrı satın alınabiliyor. Ürünler işi kolaylaştırıyor ama zorunlu değil; mevcut araçlarınızla da yürütebileceğimiz kurulumlar var.

Question 27

Ürünlerinizde verimiz nerede tutuluyor?

Accepted Answer

Kurulum tercihinize göre kendi altyapınızda ya da Türkiye'de bulunan bir veri merkezinde. Barındırma kararı sözleşmede yazılı olarak belirleniyor.

Question 28

ISO 27001 belgesini almamızı garanti ediyor musunuz?

Accepted Answer

Belgeyi biz vermiyoruz; belgelendirme bağımsız bir kuruluşun denetimiyle oluyor. Bizim taahhüdümüz, denetime hazır bir sistem kurmak ve iç denetimle eksikleri önceden kapatmak.

Question 29

Sözleşme modeli nasıl?

Accepted Answer

Proje bazlı ya da dönemsel destek şeklinde ilerliyoruz. Her iki modelde de teslim edilecek çıktılar ve takvim sözleşmede yazılı oluyor.

Question 30

Bu sitedeki yapay zeka araçları verimi saklıyor mu?

Accepted Answer

Ön değerlendirme aracında yanıtlarınız rapor üretmek için kullanılır. Asistan sohbeti yalnızca sizin tarayıcınızda saklanır, 30 gün sonra kendiliğinden silinir ve dilediğiniz an siz de silebilirsiniz. Her iki araçta da çıktılar yapay zeka tarafından üretilir ve hukuki tavsiye değildir.

Sık sorulan sorular

Temel kavramlar

Uyum süreci

Aydınlatma ve açık rıza

Veri güvenliği ve ihlal

Haklar, saklama ve imha

HEM Bilişim ile çalışmak

Nerede durduğunuzu 20 dakikada görün